Política de Privacidade

O Grupo OTB Tecnologia Ltda, CNPJ 38.544.076/0001-50, com sede na Av. Raja Gabaglia, 2000, Alpes, Belo Horizonte/MG, CEP 30494-170, é o controlador dos dados pessoais coletados em seus sites, aplicativos e serviços, conforme definido no art. 5º, VI da Lei nº 13.709/2018 (LGPD).

Quando atuamos a serviço de clientes corporativos, na hospedagem, desenvolvimento ou operação de plataformas próprias deles, figuramos como operador (art. 5º, VII), tratando dados estritamente sob instrução documentada do controlador, nos termos do contrato específico.

Vídeo explicativo · 2 minutos

Como tratamos seus dados na prática

Vídeo em produção

Para facilitar a leitura, adotamos as definições do art. 5º da LGPD:

• Titular: pessoa natural a quem se referem os dados pessoais.
• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
• Controlador: a quem competem as decisões referentes ao tratamento de dados pessoais.
• Operador: quem realiza o tratamento em nome do controlador.
• Encarregado (DPO): pessoa indicada pelo controlador como canal de comunicação entre titulares, ANPD e a organização.
• Tratamento: toda operação realizada com dados pessoais (coleta, acesso, armazenamento, uso, compartilhamento, eliminação, entre outras).
• Anonimização: utilização de meios técnicos razoáveis para que um dado perca a possibilidade de associação a um indivíduo.
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento.

Esta política se aplica a qualquer tratamento de dados realizado pelo Grupo OTB nos sites, aplicativos, sistemas, eventos, materiais de marketing, processos comerciais, suporte e atendimento, observando o art. 3º da LGPD: alcança operações realizadas em território nacional, operações em que a coleta tenha ocorrido no Brasil ou cujo objetivo seja oferecer bens e serviços a pessoas localizadas no país.

Além da LGPD, observamos, no que forem aplicáveis: o Marco Civil da Internet (Lei nº 12.965/2014) e seu decreto regulamentador; o Código de Defesa do Consumidor (Lei nº 8.078/1990); o Estatuto da Criança e do Adolescente (Lei nº 8.069/1990) e a Lei nº 15.211/2025 (ECA Digital), que estabelece deveres específicos de proteção de crianças e adolescentes em ambientes digitais; e as resoluções e guias orientativos da ANPD, incluindo o Enunciado CD/ANPD nº 1/2023 e o entendimento consolidado sobre tratamento de dados de adolescentes.

Quando oferecemos serviços a titulares localizados na União Europeia, no Reino Unido ou no Espaço Econômico Europeu, aplicamos também o Regulamento (UE) 2016/679 (GDPR) e o UK GDPR, nos termos descritos na seção sobre transferência internacional e nos avisos suplementares por região, quando cabíveis.

Esta política não substitui termos específicos de produtos, contratos comerciais nem políticas operadas por clientes em ambientes onde atuamos apenas como operador.

De forma geral, tratamos as seguintes categorias:

• Identificação e contato: nome, e-mail, telefone, empresa, cargo.
• Dados profissionais e comerciais: segmento, porte, interesse, histórico de propostas e atendimentos.
• Dados de navegação e dispositivo: endereço IP, identificadores de cookies, tipo de navegador, sistema operacional, páginas visitadas, origem de tráfego.
• Dados financeiros e transacionais: dados bancários e fiscais necessários à emissão de notas e ao processamento de pagamentos, quando aplicável.
• Dados de comunicação: conteúdo de mensagens, e-mails, chamados de suporte e gravações de atendimento, quando informado previamente.
• Dados de candidatos: dados de currículo enviados via Trabalhe Conosco, tratados conforme aviso específico.
• Dados sensíveis: em regra não coletamos. Se for indispensável, tratamos somente com consentimento específico e destacado, ou em outra hipótese do art. 11 da LGPD.

Os dados podem ser obtidos de quatro fontes:

• Diretamente do titular: em formulários, propostas, e-mails, ligações ou reuniões.
• Automaticamente: por meio de cookies, pixels e tecnologias similares ao navegar nos nossos sites e apps.
• De fontes públicas: registros oficiais, redes profissionais e bases públicas para qualificação comercial.
• De parceiros e indicações: quando o parceiro confirma ter obtido base legal apropriada para o compartilhamento.

Toda operação de tratamento exige finalidade específica e base legal apropriada (LGPD, art. 6º, I, II e III). O quadro abaixo apresenta as finalidades mais comuns, a categoria envolvida, a base legal e o prazo de retenção indicativo:

Não vendemos dados pessoais. O compartilhamento ocorre apenas com operadores estritamente necessários à prestação dos serviços e com autoridades públicas quando exigido por lei, decisão judicial ou determinação regulatória.

Todos os operadores são contratualmente obrigados a tratar dados apenas conforme nossas instruções, com medidas mínimas de segurança e dever de confidencialidade.

Parte da nossa infraestrutura é prestada por provedores globais, o que pode envolver transferência internacional de dados. Quando isso ocorre, observamos os arts. 33 a 36 da LGPD: utilizamos garantias adequadas como cláusulas-padrão contratuais, regras corporativas globais ou tratamento em países com nível de proteção considerado adequado pela ANPD.

Para titulares na União Europeia, Reino Unido ou EEE, eventuais transferências para fora do EEE são baseadas em decisão de adequação da Comissão Europeia (quando aplicável) ou em Cláusulas Contratuais Padrão (SCCs) da UE / IDTA do Reino Unido, complementadas por medidas técnicas e organizacionais adicionais (criptografia, pseudonimização, controle de acesso e avaliação de impacto de transferência: TIA), em linha com os arts. 44 a 49 do GDPR.

Atualmente a infraestrutura envolve provedores no Brasil e nos Estados Unidos (Lovable Cloud/Supabase e Lovable AI Gateway), com uso pontual de CDN global para entrega de conteúdo estático. As transferências são amparadas por cláusulas contratuais específicas e DPAs dos provedores. A lista nominal e atualizada está em Subprocessadores.

Em regra, não tomamos decisões totalmente automatizadas que afetem significativamente o titular sem intervenção humana. Podemos usar ferramentas automatizadas para qualificação comercial, recomendação de conteúdo e prevenção a fraudes.

Quando aplicável, o titular tem direito a solicitar a revisão da decisão por pessoa natural, conforme o art. 20 da LGPD, mediante contato com o Encarregado.

Utilizamos cookies essenciais (sem necessidade de consentimento) e cookies de desempenho, funcionais e de publicidade (sujeitos ao seu consentimento). As categorias, finalidades e prazos estão detalhados em nossa Política de Cookies: onde você também pode revisar suas preferências a qualquer momento.

As ferramentas de analytics e pixels publicitários efetivamente carregados em cada marca do ecossistema estão listadas no inventário dinâmico da Política de Cookies, atualizado por auditoria periódica.

Nossos serviços são direcionados a públicos adultos (profissionais, empresas e organizações). Não coletamos, intencionalmente, dados de crianças (até 12 anos incompletos) nem de adolescentes (12 a 18 anos).

Quando, excepcionalmente, o tratamento de dados de crianças ou adolescentes for necessário, observaremos cumulativamente:

• O melhor interesse da criança e do adolescente, princípio reitor do art. 14 da LGPD, do ECA (Lei nº 8.069/1990) e da Lei nº 15.211/2025 (ECA Digital).
• Para crianças: consentimento específico e em destaque fornecido por pelo menos um dos pais ou responsável legal, com esforços razoáveis de verificação; ou outra hipótese legal do art. 14, §3º da LGPD quando estritamente necessário à proteção da criança.
• Para adolescentes: aplicação, no que couber, do regime de proteção reforçada, conforme entendimento consolidado da ANPD, com base legal adequada, transparência apropriada à faixa etária e restrição ao mínimo necessário.
• Não realizamos perfilamento, publicidade comportamental direcionada, decisões automatizadas com efeito significativo, coleta de geolocalização precisa ou dados sensíveis de crianças e adolescentes para fins comerciais.
• Mecanismos de segurança e privacidade por padrão (privacy & safety by design/default), avaliação de risco quando a exposição a menores for previsível e canais acessíveis de denúncia e exclusão de conteúdo.

Caso identifiquemos coleta inadvertida de dados de crianças ou adolescentes fora dessas hipóteses, eliminaremos os dados prontamente e, quando cabível, comunicaremos os responsáveis e as autoridades competentes. Pedidos de exclusão podem ser feitos pelo canal do Encarregado.

A LGPD garante aos titulares uma série de direitos. Você pode exercer qualquer um deles, gratuitamente, pelos canais informados ao final desta política:

A resposta a solicitações de titulares ocorre em até 15 dias, contados do recebimento, conforme art. 19, §1º da LGPD.

Titulares na UE / Reino Unido / EEE (GDPR): além dos direitos previstos na LGPD, você tem os direitos de acesso, retificação, apagamento (“direito ao esquecimento”), limitação do tratamento, portabilidade, oposição, retirada do consentimento e não sujeição a decisões automatizadas com efeito significativo (arts. 15 a 22 do GDPR), bem como o direito de apresentar reclamação à autoridade de controle competente do seu país de residência. Responderemos no prazo de até 1 mês, prorrogável por mais 2 meses em casos complexos, conforme art. 12 do GDPR.

Adotamos medidas técnicas e organizacionais razoáveis e proporcionais ao risco, alinhadas a boas práticas de mercado (NBR ISO/IEC 27001/27701) e ao Guia de Segurança da Informação da ANPD:

• Criptografia em trânsito (HTTPS/TLS) e em repouso para dados sensíveis.
• Controle de acesso por perfil, com princípio de mínimo privilégio.
• Autenticação multifator em sistemas críticos.
• Trilhas de auditoria e monitoramento de acessos sensíveis.
• Gestão de fornecedores com avaliação de segurança e cláusulas LGPD.
• Capacitação contínua dos colaboradores em proteção de dados.
• Política de retenção e descarte seguro.

Práticas detalhadas em Segurança Digital. Nenhuma medida de segurança é absoluta; comprometemo-nos a manter controles proporcionais e revisados continuamente.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, conforme art. 48 da LGPD e Resolução CD/ANPD nº 15/2024. Quando o GDPR for aplicável, a notificação à autoridade de controle ocorrerá em até 72 horas após o conhecimento do incidente (art. 33 do GDPR) e, havendo risco elevado, os titulares serão comunicados sem demora indevida (art. 34).

A comunicação conterá, no mínimo: descrição da natureza dos dados, titulares envolvidos, medidas técnicas e de segurança aplicadas, riscos identificados e medidas adotadas para reverter ou mitigar os efeitos. Para reporte responsável de vulnerabilidades por pesquisadores, consulte nossa página de Divulgação Responsável.

Mantemos os dados pelo período necessário ao cumprimento das finalidades informadas ou para atender obrigações legais e regulatórias. Após esse período, eliminamos ou anonimizamos os dados de forma segura.

Detalhamento adicional em Retenção de Dados.

O Encarregado (DPO) é responsável por receber comunicações de titulares e da ANPD, orientar nossos colaboradores e zelar pelas práticas de proteção de dados, nos termos do art. 41 da LGPD.

Encarregado (DPO) · LGPD art. 41

Encarregado de Dados do Grupo OTB

Responsável por receber comunicações da ANPD, atender titulares, orientar colaboradores e zelar pelas práticas de proteção de dados do Grupo OTB.

Falar com o DPOSaber mais

Esta política pode ser atualizada para refletir alterações legislativas, regulatórias ou em nossos serviços. Alterações relevantes serão comunicadas pelos canais usuais ou por aviso em destaque nesta página. Recomendamos releitura periódica.

Esta política é regida pelas leis brasileiras, em especial pela Lei nº 13.709/2018 (LGPD) e pelo Marco Civil da Internet (Lei nº 12.965/2014). Fica eleito o foro da comarca da sede do controlador para dirimir controvérsias, sem prejuízo de outros foros previstos em lei.

Histórico de versões