Política de Privacidade

Esta Política explica quais dados pessoais a ORBIX coleta, por que coleta, com quem compartilha e quais são os seus direitos, conforme a Lei nº 13.709/2018 (LGPD).

1. Controlador e Encarregado

Controlador: LEX TREE LLC, constituída em Sheridan, Wyoming, Estados Unidos, nº [A DEFINIR], endereço [A DEFINIR], operadora da plataforma ORBIX.

Encarregado pelo Tratamento de Dados (DPO): [A DEFINIR — nome e e-mail]. É a pessoa a quem você deve se dirigir para exercer seus direitos ou tirar dúvidas sobre esta Política.

2. Quais dados coletamos

2.1. Dados que você fornece:

• Cadastro: nome completo, e-mail e CPF/CNPJ.
• Autenticação: senha (armazenada apenas como hash — nunca em texto legível) e senha de segurança para ações sensíveis.
• Dados operacionais: endereço de carteira Liquid e chave PIX.
• Dados de operação: ao criar cobranças ou envios — valores, e, quando aplicável, nome e CPF/CNPJ do pagador ou do recebedor.

2.2. Dados gerados pelo uso:

• Registros de transação: tipo, valor, taxa, status, datas, identificadores e comprovantes.
• Registros de acesso: endereço IP, data e hora, e registros técnicos do servidor — guardados por exigência legal (Marco Civil da Internet) e para segurança.
• Autenticação: data da verificação de e-mail e do último segundo fator.
• Indicação: código de indicação, quando você chega por um.

Não coletamos dados sensíveis (origem racial, opinião política, saúde, biometria etc.) e não pedimos as chaves privadas ou a frase de recuperação da sua carteira. Nunca peça nem entregue isso a ninguém, inclusive a quem se diga do nosso suporte.

3. Por que tratamos seus dados (finalidade e base legal)

Não usamos seus dados para publicidade nem os vendemos a terceiros.

4. Com quem compartilhamos

Compartilhamos apenas o necessário, com:

• Eulen — emissora do DePix e responsável por processar e liquidar as operações. Recebe os dados exigidos para a operação (nome, CPF/CNPJ, valor, endereço de carteira, chave PIX). Sem esse compartilhamento a operação não existe.
• Provedor de infraestrutura — DigitalOcean, que hospeda a aplicação e a base de dados.
• Provedor de backup — cópias de segurança da base são armazenadas criptografadas em repositório privado (GitHub). Sem a chave de decriptação, que não fica no servidor, o conteúdo é ilegível.
• Provedor de e-mail — para mensagens transacionais e verificação. [A DEFINIR — provedor]
• Autoridades públicas — quando houver requisição legal ou ordem judicial.

5. Transferência internacional de dados

Atenção: a infraestrutura da ORBIX está hospedada nos Estados Unidos. Isso significa que seus dados pessoais são armazenados e tratados fora do Brasil, inclusive as cópias de segurança (armazenadas de forma criptografada). O controlador também é uma sociedade constituída nos Estados Unidos.

A transferência é necessária para a execução do contrato entre você e a ORBIX, nos termos do art. 33 da LGPD. Adotamos medidas de segurança para proteger os dados independentemente de onde estejam (seção 7).

[A REVISAR COM ADVOGADO: a base legal e as salvaguardas da transferência internacional (art. 33 da LGPD) precisam ser validadas juridicamente e, se for o caso, formalizadas em cláusulas contratuais com os operadores.]

6. Por quanto tempo guardamos

• Dados de cadastro: enquanto a conta existir.
• Registros de transação: pelos prazos exigidos pela legislação aplicável, mesmo após o encerramento da conta — registros financeiros não podem ser simplesmente apagados a pedido.
• Registros de acesso: pelo prazo legal mínimo (Marco Civil da Internet).

Encerrado o prazo e a finalidade, os dados são eliminados ou anonimizados.

7. Como protegemos

• Criptografia em trânsito (HTTPS/TLS) em todo o site.
• Senhas nunca em texto legível — armazenadas com hash.
• Senha de segurança adicional para trocar carteira ou chave PIX.
• Autenticação em dois fatores por e-mail, disponível para o acesso.
• Acessos por função, para que cada pessoa da equipe veja só o necessário.
• Limitação de tentativas de login, contra ataques de força bruta.
• Backups criptografados, cuja chave de decriptação não fica no servidor.
• Aplicação executada com privilégio mínimo e acesso restrito à infraestrutura.

Nenhum sistema é 100% imune. Em caso de incidente de segurança relevante, comunicaremos você e a ANPD, conforme o art. 48 da LGPD.

8. Seus direitos

A LGPD (art. 18) garante a você o direito de:

• confirmar a existência de tratamento e acessar seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• solicitar a portabilidade;
• obter informação sobre compartilhamento;
• revogar consentimento, quando o tratamento se basear nele;
• opor-se a tratamento feito com base em legítimo interesse.

Para exercer, escreva para [A DEFINIR — e-mail do encarregado]. Podemos pedir informações para confirmar sua identidade antes de atender — é uma proteção sua.

Um limite honesto: alguns dados não podem ser eliminados a pedido, porque a lei nos obriga a guardá-los (registros financeiros e de acesso). Nesses casos explicaremos o motivo e o prazo.

9. Cookies

Usamos apenas cookies essenciais, necessários para manter sua sessão autenticada e proteger formulários contra fraude (CSRF). Não usamos cookies de publicidade nem de rastreamento de terceiros. Bloqueá-los impede o funcionamento do login.

10. Dados de crianças e adolescentes

A plataforma não se destina a menores de 18 anos e não coletamos intencionalmente dados dessas pessoas. Se identificarmos, eliminaremos a conta e os dados.

11. Alterações desta Política

Podemos atualizar esta Política. A versão vigente é sempre a publicada nesta página, com a data no topo. Mudanças relevantes serão comunicadas pelos canais disponíveis.

12. Contato

Dúvidas sobre privacidade ou exercício de direitos: [A DEFINIR — e-mail do encarregado].

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).