LGPD aplicada
ao Grupo OTB

Esta página descreve como o Grupo OTB aplica a Lei nº 13.709/2018: Lei Geral de Proteção de Dados Pessoais (LGPD): em todos os seus produtos, sites, aplicativos, contratos e relações institucionais. Aplica-se ao tratamento de dados pessoais realizado em território nacional, ao tratamento que tenha por objetivo a oferta de bens ou serviços a titulares localizados no Brasil e ao tratamento de dados pessoais coletados no território nacional (art. 3º).

Não se aplica a tratamentos realizados por pessoa natural para fins exclusivamente particulares e não econômicos, com fins exclusivamente jornalísticos, artísticos ou acadêmicos, ou para fins de segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão de infrações penais, conforme art. 4º.

A LGPD é aplicada de forma integrada com o Marco Civil da Internet (Lei nº 12.965/2014), o Código de Defesa do Consumidor (Lei nº 8.078/1990), o Estatuto da Criança e do Adolescente (Lei nº 8.069/1990) e a Lei nº 15.211/2025 (ECA Digital), que reforça deveres de proteção de crianças e adolescentes em ambientes digitais. Para titulares na União Europeia, no Reino Unido ou no EEE, observamos ainda o GDPR (Regulamento UE 2016/679) e o UK GDPR.

Esta é uma página de aplicação prática da LGPD e não substitui a Política de Privacidade nem os contratos específicos firmados com clientes corporativos.

Os termos abaixo seguem as definições da LGPD e fundamentam todas as demais seções desta página.

Toda atividade de tratamento conduzida pelo Grupo OTB observa os dez princípios do art. 6º da LGPD. Eles são parâmetro de conduta interna, de revisão de processos e de avaliação de riscos.

O Grupo OTB atua como controlador quando define a finalidade e os meios do tratamento, por exemplo, em formulários institucionais, contratos próprios e ferramentas internas. Atua como operador quando trata dados a serviço de clientes corporativos, conforme contrato. Quando contrata terceiros para suportar esses tratamentos, há um suboperador, vinculado por contrato a instruções equivalentes.

Em qualquer cenário, as responsabilidades do art. 42: com possibilidade de solidariedade: são consideradas no desenho contratual e operacional, e o Encarregado é envolvido nas decisões sensíveis.

Todo tratamento precisa de pelo menos uma base legal. A LGPD prevê 10 hipóteses para dados comuns (art. 7º) e 8 para dados sensíveis (art. 11). Não existe hierarquia: a escolha depende da finalidade concreta.

Mapa operacional dos principais tratamentos do Grupo OTB, com base legal e prazo de retenção informativos.

Dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico recebem proteção reforçada. O consentimento, quando utilizado, é obtido de forma específica e destacada, separado das demais autorizações.

Para finalidades que envolvam dados sensíveis em larga escala ou que possam gerar risco a direitos e liberdades, é elaborado Relatório de Impacto à Proteção de Dados Pessoais (RIPD), nos termos do art. 38, com participação do Encarregado.

Em regra, o Grupo OTB não trata dados sensíveis no curso ordinário de suas operações comerciais. Quando indispensável: por exemplo, dados de saúde em exames admissionais ou autodeclaração para cota PCD (Lei 8.213/91) ,, o tratamento observa base legal específica do art. 11 da LGPD e é registrado no inventário interno mantido pela área de Privacidade.

O tratamento de dados pessoais de crianças e adolescentes observa o melhor interesse, nos termos do art. 14. Quando necessário consentimento, ele é específico e em destaque, fornecido por pelo menos um dos pais ou pelo responsável legal. É vedado condicionar a participação em jogos, aplicações ou atividades ao fornecimento de informações além das estritamente necessárias.

As informações sobre coleta, uso, armazenamento, tratamento e proteção desses dados são apresentadas de maneira simples, clara e acessível, considerando as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais da criança ou adolescente.

Em complemento à LGPD, observamos a Lei nº 15.211/2025 (ECA Digital) e o entendimento consolidado da ANPD sobre proteção reforçada de adolescentes (12 a 18 anos):

• Privacidade e segurança por padrão (privacy & safety by design/default).
• Vedação de perfilamento e publicidade comportamental direcionada a menores.
• Vedação de decisões automatizadas com efeito significativo sobre menores.
• Não coleta de geolocalização precisa nem de dados sensíveis para fins comerciais.
• Avaliação de risco quando a exposição a menores for previsível e canais acessíveis de denúncia e exclusão.
• Base legal adequada e transparência apropriada à faixa etária, com esforços razoáveis de verificação de idade e de consentimento parental quando exigido.

Como titular de dados pessoais tratados pelo Grupo OTB, você pode, gratuitamente, exercer os direitos abaixo. As solicitações são respondidas em até 15 dias úteis a contar da identificação, observadas as exceções previstas em lei.

Titulares na UE / Reino Unido / EEE (GDPR): aplicam-se ainda os direitos dos arts. 15 a 22 do GDPR, acesso, retificação, apagamento (direito ao esquecimento), limitação, portabilidade, oposição, retirada do consentimento e não sujeição a decisões automatizadas com efeito significativo ,, além do direito de reclamação à autoridade de controle competente. Prazo de resposta: até 1 mês, prorrogável por mais 2 meses em casos complexos (art. 12 do GDPR).

Cada solicitação passa por etapas estruturadas, com rastreabilidade e log de auditoria. Em caso de recusa fundamentada, o titular recebe os motivos e os caminhos para recurso, inclusive perante a ANPD.

Quando dados precisam ser transferidos para fora do Brasil, o Grupo OTB observa as hipóteses do art. 33 e adota salvaguardas contratuais e técnicas: cláusulas-padrão, cláusulas específicas, normas corporativas globais e, quando aplicável, certificações.

Para dados originados na UE / Reino Unido / EEE, transferências para fora do EEE seguem os arts. 44 a 49 do GDPR: decisão de adequação da Comissão Europeia (quando existente) ou Cláusulas Contratuais Padrão (SCCs) da UE / IDTA do Reino Unido, com Transfer Impact Assessment (TIA) e medidas técnicas adicionais (criptografia, pseudonimização, controle de acesso).

• Hipótese 1
  Países com nível adequado de proteção

  Reconhecidos pela ANPD (art. 33, I).

• Hipótese 2
  Garantias específicas

  Cláusulas-padrão contratuais, cláusulas contratuais específicas, normas corporativas globais, selos ou certificações (art. 33, II).

• Hipótese 3
  Cooperação jurídica internacional

  Quando necessária para autoridades públicas no exercício de competências (art. 33, III).

• Hipótese 4
  Proteção da vida ou incolumidade física

  Do titular ou de terceiro (art. 33, IV).

• Hipótese 5
  Autorização específica da ANPD

  Mediante demonstração de garantias adequadas (art. 33, V).

• Hipótese 6
  Compromisso internacional do Brasil

  Decorrente de acordo internacional (art. 33, VI).

• Hipótese 7
  Execução de política pública ou atribuição legal

  Por órgão de serviço público (art. 33, VII).

• Hipótese 8
  Consentimento específico e destacado

  Com informação prévia sobre o caráter internacional (art. 33, VIII).

• Hipótese 9
  Execução de contrato com o titular

  Quando a transferência for necessária (art. 33, IX).

• Jurisdições para as quais o Grupo OTB realiza transferência: Estados Unidos (Lovable Cloud/Supabase, Lovable AI Gateway) e, quando aplicável, União Europeia, sempre com salvaguardas específicas do art. 33 da LGPD.

Quando decisões totalmente automatizadas afetam interesses do titular: por exemplo, definição de perfil, prevenção a fraudes, scoring de crédito ou de risco, você tem direito à revisão, à informação sobre os critérios e procedimentos utilizados e à explicação acessível sobre a lógica adotada, observado o segredo comercial e industrial.

A revisão é conduzida por equipe humana qualificada e documentada no canal do Encarregado. Atualmente, o Grupo OTB não utiliza decisões totalmente automatizadas com efeito significativo sobre titulares: ferramentas automatizadas apoiam, apenas como sugestão à decisão humana, a qualificação comercial, a recomendação de conteúdo e a prevenção a fraudes.

Em cumprimento aos arts. 46 a 49, mantemos um programa de governança em privacidade com camadas técnicas e administrativas:

• Criptografia em trânsito (TLS) e em repouso para dados sensíveis.
• Controle de acesso por perfil, princípio do menor privilégio e MFA para sistemas críticos.
• Segregação de ambientes (produção, homologação, desenvolvimento).
• Trilhas de auditoria e logs preservados por prazo proporcional ao risco.
• Backups, redundância e plano de continuidade.
• Inventário de dados e mapeamento de fluxos.
• RIPD para tratamentos de alto risco.
• Treinamento periódico de colaboradores e cláusulas de confidencialidade.
• Avaliação de subprocessadores antes da contratação e em ciclos de revisão.

Programa de governança · 3 minutos

Como aplicamos a LGPD no dia a dia

Vídeo em produção

Considera-se incidente de segurança qualquer evento adverso, confirmado ou sob suspeita, relacionado à violação de confidencialidade, integridade, disponibilidade e autenticidade de dados pessoais. Em incidentes que possam acarretar risco ou dano relevante aos titulares, comunicamos a ANPD e os titulares afetados em prazo razoável, com o conteúdo mínimo previsto na Resolução CD/ANPD nº 15/2024.

Quando o GDPR for aplicável, notificamos a autoridade de controle competente em até 72 horas após o conhecimento do incidente (art. 33 do GDPR) e comunicamos os titulares sem demora indevida quando houver risco elevado (art. 34).

As sanções da LGPD são aplicadas exclusivamente pela ANPD, observado o devido processo legal e os critérios do Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023). O Grupo OTB se compromete a cooperar com a Autoridade em qualquer fiscalização ou requerimento.

O Encarregado é o ponto de contato entre o Grupo OTB, os titulares e a ANPD. Suas atribuições incluem aceitar reclamações e comunicações, prestar esclarecimentos, orientar colaboradores e executar demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares (art. 41, §2º).

Encarregado (DPO) · LGPD art. 41

Encarregado de Dados do Grupo OTB

Responsável por receber comunicações da ANPD, atender titulares, orientar colaboradores e zelar pelas práticas de proteção de dados do Grupo OTB.

Falar com o DPOSaber mais

Esta página é complementar aos demais documentos da Central Legal. Consulte também:

Histórico de versões