Política de Privacidade

1. Identidade da Ortalio e Dados de Contato

• Controlador / Pessoa Jurídica: SendWork, Inc. (uma sociedade constituída no estado da Flórida)
• Endereço Postal: 382 NE 191st Street, Suite 42012, Miami, FL 33179, Estados Unidos
• Canal de Contato de Privacidade (Responsável pela Proteção de Informações Pessoais / Equipe de Privacidade): privacy@ortalio.com
• Contato da Equipe Jurídica: legal@ortalio.com
• Contato de Suporte: support@ortalio.com
• Contato de Proteção de Dados para Todas as Regiões: Pessoas em todos os países e regiões onde o Serviço é oferecido — incluindo o Espaço Econômico Europeu, o Reino Unido e o Brasil — podem entrar em contato com a Ortalio sobre questões de privacidade e proteção de dados pelo privacy@ortalio.com ou por correio no endereço postal acima.

2. Nossa Função: Controlador vs. Operador

A Ortalio fornece software business-to-business para empresas de serviços de campo e de ofícios ("Clientes") e para suas equipes ("Usuários Autorizados"), para que gerenciem suas operações e atendam seus próprios clientes ("Clientes Finais"). Nossas responsabilidades legais dependem de atuarmos como Controlador ou como Operador:

2.1 Quando a Ortalio é o Controlador (ou "Business")

A Ortalio atua como Controlador (ou "Business", nos termos das leis estaduais de privacidade dos EUA) quando determinamos as finalidades e os meios do tratamento de Dados Pessoais para nossas próprias operações, incluindo:

• Registro de contas, autenticação e registros de perfil empresarial de Clientes e Usuários Autorizados;
• Inscrições na lista de espera pré-lançamento e comunicações de marketing da Ortalio;
• Cobrança de assinaturas, faturamento com impostos incluídos e gestão de contas entre o Cliente e a Ortalio; e
• Segurança do site e do aplicativo, prevenção de fraudes, logs de autenticação, diagnósticos de falhas, solicitações de suporte e telemetria de uso do produto.

2.2 Quando a Ortalio é o Operador (ou "Processor" / "Service Provider")

O Cliente (o prestador de serviços ou a empresa de serviços) é o Controlador (ou "Business") — e a Ortalio atua como Operador (ou "Service Provider") — de todos os Dados de Clientes Finais e registros operacionais de trabalhos que o Cliente ou seus Usuários Autorizados enviem, armazenem ou gerem em seu espaço de trabalho da Ortalio. A Ortalio trata esses dados conforme as instruções do Cliente, nos termos do Anexo 1 (Adendo de Tratamento de Dados) dos nossos Termos de Serviço para Empresas.

• Aviso Importante aos Clientes Finais (Proprietários de Imóveis, Administradores de Imóveis e Locais de Eventos): Se você recebeu um orçamento, uma estimativa, uma fatura, um aviso de agendamento ou um link de pagamento de um prestador de serviços que usa a Ortalio, esse prestador de serviços controla seus Dados Pessoais. Encaminhe quaisquer dúvidas sobre privacidade ou solicitações de direitos relativas ao seu relacionamento com esse prestador de serviços diretamente a ele. Se você enviar à Ortalio uma solicitação que identifique um prestador de serviços específico, encaminharemos sua solicitação a esse prestador de serviços e o auxiliaremos de acordo com nosso Adendo de Tratamento de Dados.

3. Categorias de Dados Pessoais que Tratamos

3.1 Dados de Clientes e Usuários Autorizados (Controlador)

• Dados de Conta e de Perfil Empresarial: Nome, nome empresarial, ofício/setor, porte da empresa, função/cargo, endereço de e-mail, número de telefone, endereço comercial, preferência de idioma, mercado/país e moeda selecionada.
• Dados de Autenticação e de Permissões: E-mail de login, identificadores de autenticação, permissões do espaço de trabalho baseadas em funções e tokens de sessão.
• Dados de Cobrança de Assinaturas e Dados Fiscais: Plano de assinatura, ciclo de cobrança, endereço de cobrança, números de inscrição fiscal da empresa, quando fornecidos, IDs de cliente e de assinatura da Stripe, histórico de faturas, status de pagamento e metadados não sensíveis do cartão retornados pela Stripe (como bandeira do cartão, últimos quatro dígitos e data de validade). A Ortalio não coleta nem armazena números completos de cartões de pagamento nem códigos de segurança CVV.
• Comunicações de Suporte e Jurídicas: Mensagens, anexos e registros trocados com nossas equipes de suporte, de privacidade ou jurídica.

3.2 Dados da Lista de Espera (Controlador)

• Inscrições na Lista de Espera: Nome, endereço de e-mail, domínio do site/página de origem, país/mercado, preferência de idioma, origem da campanha, data e hora do registro e status do consentimento para marketing. Inscrever-se em uma lista de espera não cria uma conta de software nem inicia uma assinatura paga.
• Verificações de Segurança e de Elegibilidade da Lista de Espera: Endereço IP (usado para o roteamento geográfico ao mercado correto e para verificações de risco de rede e de fraude por meio da MaxMind) e tokens de verificação antibot e sinais do navegador gerados pelo Cloudflare Turnstile.

3.3 Dados de Uso, Dispositivo, Segurança e Dados Locais Offline no Dispositivo (Controlador)

• Dados Técnicos, de Diagnóstico e de Segurança: Endereço IP, região geográfica aproximada derivada do endereço IP, tipo de navegador e de sistema operacional, informações do dispositivo, páginas e funcionalidades acessadas, logs de autenticação e de auditoria, relatórios de falhas/erros e sinais de detecção de abuso.
• Armazenamento Offline e Local no Dispositivo (PWA / IndexedDB): Como o Serviço oferece suporte ao uso móvel e offline em campo, registros do espaço de trabalho e ações offline pendentes podem ser armazenados em cache localmente no dispositivo de um Usuário Autorizado por meio do localStorage e do IndexedDB do navegador, sendo sincronizados quando a conexão com a internet for restabelecida. Observação Importante sobre a Segurança do Dispositivo: Sair do aplicativo (logout) não apaga automaticamente todas as linhas da fila do IndexedDB armazenadas localmente nem os registros em cache no navegador do dispositivo. Os dados locais podem permanecer no dispositivo até serem apagados por um processo de limpeza do aplicativo ou até que o usuário apague manualmente os dados do navegador/site. Os Usuários Autorizados devem proteger seus dispositivos com senhas de acesso e apagar os dados do navegador caso utilizem um dispositivo compartilhado.

3.4 Dados de Clientes Finais e Dados Operacionais de Trabalhos (Operador para o Cliente)

• Registros de Clientes Finais e de Trabalhos: Nomes de Clientes Finais, dados de contato, endereços dos locais de serviço, agendamentos, tarefas, trabalhos recorrentes, estimativas, orçamentos, sinais (depósitos), faturas, itens de linha, tributos, status de pagamento, registros de horas da equipe, anotações de trabalho, fotos, vídeos, anexos e assinaturas inseridos pelo Cliente.
• Mensagens Transacionais: Estimativas, faturas, recibos e comunicações de serviço enviados por um Cliente a um Cliente Final por meio do Serviço, incluindo o status de entrega/devolução.

3.5 Metadados da Conta Conectada e dos Pagamentos Conectados (Se e Quando Habilitados)

Se e quando os Pagamentos Conectados forem disponibilizados no mercado de um Cliente e o Cliente conectar uma conta Stripe de titularidade do prestador de serviços para aceitar pagamentos de Clientes Finais:

• Status da Conta Conectada: Identificador da Conta Conectada da Stripe, status de onboarding, indicadores de capacidades e indicadores de status de restrição fornecidos pela Stripe.
• Metadados de Transações: IDs de sessões de checkout, status de pagamento, valor, moeda, data e indicadores de status de reembolso/contestação necessários para manter precisos os registros de faturas do Cliente. As credenciais de pagamento brutas inseridas por um Cliente Final em uma página de checkout hospedada pela Stripe são fornecidas diretamente à Stripe, nos termos da Política de Privacidade da Stripe (stripe.com/privacy).

3.6 Dados de IA e Voz (Operador para Conteúdo / Controlador para Logs de Uso e Segurança)

• Entradas e Saídas de IA e Voz: Prompts de texto, contexto selecionado do espaço de trabalho, áudio de voz enviado para transcrição, transcrições, rascunhos ou resumos gerados, prévias das ações propostas, confirmações do usuário e registros de auditoria das ações de IA.
• Logs de Cota e de Segurança: Contagem de interações (para acompanhamento da franquia do plano), logs de erros e telemetria de segurança/abuso.

4. Fontes dos Dados Pessoais

Coletamos Dados Pessoais: (a) diretamente de Clientes, Usuários Autorizados e visitantes da lista de espera; (b) automaticamente a partir de dispositivos e navegadores que interagem com o Serviço; (c) de Clientes e Usuários Autorizados que inserem Dados de Clientes Finais em seus espaços de trabalho; e (d) da Stripe, por meio de notificações de webhook assinadas relativas à cobrança de assinaturas ou (quando habilitado) ao status de Pagamentos Conectados.

5. Finalidades e Bases Legais para o Tratamento

Quando o GDPR da UE, o UK GDPR, a Lei Geral de Proteção de Dados Pessoais brasileira (LGPD, Lei nº 13.709/2018) ou leis semelhantes se aplicarem à Ortalio como Controlador, utilizamos as seguintes bases legais (e não alegamos que o mero uso do Serviço constitua consentimento genérico para todo e qualquer tratamento):

• Execução de Contrato (ou de Procedimentos Preliminares Relacionados a Contrato): Para registrar e autenticar contas, fornecer o Serviço e suas funcionalidades de IA/voz e de sincronização offline, processar pagamentos de assinaturas por meio da Stripe, possibilitar a manutenção de registros de Pagamentos Conectados, quando disponível, enviar comunicações transacionais e prestar suporte ao cliente.
• Cumprimento de Obrigações Legais: Para calcular e registrar faturas de assinaturas com impostos incluídos, manter os registros contábeis e fiscais exigidos, responder a processos legais válidos e cumprir as obrigações legais de proteção de dados e de segurança.
• Legítimos Interesses: Para manter a segurança da plataforma, o isolamento entre locatários (tenants) e a prevenção de fraudes; diagnosticar erros e falhas do aplicativo; fazer cumprir nossos Termos de Serviço para Empresas; e analisar o desempenho do serviço com base em dados desidentificados ou agregados.
• Consentimento: Para comunicações de marketing opcionais, inscrições em listas de espera e cookies/análises não essenciais, quando a lei exigir consentimento prévio. Você pode revogar o consentimento a qualquer momento, sem afetar a licitude do tratamento realizado anteriormente.

Quando a Ortalio trata Dados de Clientes Finais como Operador, o faz exclusivamente de acordo com as instruções do nosso Cliente, nos termos do Anexo 1 (Adendo de Tratamento de Dados) dos nossos Termos de Serviço para Empresas.

6. Práticas de Tratamento por IA e Voz

1. Nenhum Treinamento de Modelos Generalizados pela Ortalio: A Ortalio não utiliza Dados do Cliente, Dados de Clientes Finais, áudio de voz, transcrições nem resultados de IA para treinar modelos generalizados de inteligência artificial destinados a outros clientes.
2. Configurações dos Fornecedores Comerciais: Quando funcionalidades de IA ou de voz são utilizadas, as solicitações são encaminhadas por meio de integrações comerciais de API com nossos fornecedores autorizados de IA e de voz (listados no Anexo 2 abaixo), configuradas de modo que os Dados do Cliente não sejam usados para treinar os modelos fundacionais generalizados dos fornecedores, salvo mediante adesão (opt-in) separada e específica. Os fornecedores podem reter temporariamente entradas e saídas da API, quando exigido por seus termos comerciais, para monitoramento automatizado de abusos, recuperação de erros ou cumprimento de obrigações legais antes da exclusão.
3. Revisão Assistida e Confirmação: Quando houver suporte na interface do aplicativo, as ações de escrita de IA com consequências relevantes apresentam uma prévia para confirmação do usuário antes de modificar os registros do espaço de trabalho.

7. Divulgação de Dados Pessoais, Suboperadores e Controladores Independentes

7.1 Ausência de Venda ou de Publicidade Comportamental Entre Contextos. A Ortalio não "vende" Dados Pessoais nem "compartilha" Dados Pessoais para publicidade comportamental entre contextos ou publicidade direcionada de terceiros.

7.2 Fornecedores de Serviços e Suboperadores. Compartilhamos Dados Pessoais com fornecedores de infraestrutura e de serviços previamente avaliados, que tratam dados em nosso nome para hospedar e fornecer o Serviço, incluindo fornecedores de hospedagem em nuvem, de banco de dados e de autenticação, fornecedores de e-mail transacional, fornecedores de segurança e de verificação antibot, fornecedores de geolocalização por IP e de avaliação de risco de fraude, fornecedores comerciais de tratamento por IA e voz (quando essas funcionalidades são acionadas) e fornecedores de monitoramento de erros e de análise de produto. Nossa lista de suboperadores autorizados e o respectivo status constam do Anexo 2 abaixo.

7.3 Dupla Função da Stripe (Operador e Controlador Independente). Utilizamos a Stripe para a cobrança de assinaturas da Ortalio e (quando disponível e habilitado) para os Pagamentos Conectados do Cliente. Embora a Stripe atue como operador/suboperador em determinadas etapas de execução de pagamentos direcionadas pela Ortalio, a Stripe atua como Controlador independente quando coleta e trata Dados Pessoais diretamente para verificação de identidade "Conheça Seu Cliente" (KYC), triagem de prevenção à lavagem de dinheiro (AML) e de sanções, detecção de fraudes nas redes de pagamento, conformidade regulatória e administração da própria Conta Conectada do Cliente. O tratamento independente realizado pela Stripe é regido pela Política de Privacidade da Stripe (stripe.com/privacy).

7.4 Outras Divulgações. Também poderemos divulgar Dados Pessoais: (a) a Clientes Finais ou a integrações de terceiros, por determinação de um Cliente; (b) a tribunais, órgãos reguladores ou autoridades policiais, quando exigido por lei ou necessário para proteger a segurança, direitos ou bens; ou (c) no contexto de fusão societária, financiamento, aquisição ou venda de ativos, sob proteções de confidencialidade.

7.5 Dados Desidentificados. Quando criamos ou utilizamos dados técnicos desidentificados ou agregados, nós os mantemos e utilizamos de forma desidentificada e não tentamos reidentificar pessoas.

8. Cookies, Análises e Armazenamento Local

Utilizamos cookies, localStorage e IndexedDB para autenticar usuários, lembrar preferências de idioma e de mercado, habilitar a funcionalidade offline do PWA e processar checkouts da Stripe com segurança. Nas páginas públicas e do aplicativo, também utilizamos o PostHog para avaliar sinalizadores de funcionalidades (feature flags) e entender como as páginas e funcionalidades são usadas, e o Rollbar para capturar erros do aplicativo; nos formulários públicos e da lista de espera, o Cloudflare Turnstile executa uma verificação de segurança antibot. Você pode bloquear ou excluir cookies e limpar o armazenamento do site a qualquer momento nas configurações do seu navegador, e pode solicitar a exclusão das análises (opt-out) enviando um e-mail para privacy@ortalio.com. Informações detalhadas sobre essas tecnologias e seus controles constam do Anexo 1 (Aviso sobre Cookies e Armazenamento Local) abaixo.

9. Comunicações de Marketing e Transacionais

Os inscritos na lista de espera e os contatos comerciais que optarem por receber atualizações de marketing da Ortalio podem cancelar a inscrição a qualquer momento usando o link "Cancelar inscrição" em qualquer e-mail de marketing ou enviando um e-mail para privacy@ortalio.com. O cancelamento da inscrição em e-mails de marketing não afeta os e-mails essenciais transacionais, de segurança ou de cobrança de assinatura necessários para administrar uma conta ativa.

10. Transferências Internacionais de Dados

A Ortalio está sediada nos Estados Unidos, e nossos fornecedores de serviços tratam dados principalmente nos Estados Unidos e em outros países onde operam. Quando Dados Pessoais são transferidos internacionalmente a partir do EEE, do Reino Unido, do Canadá (incluindo Quebec), do Brasil, de outros países da América Latina, da Austrália ou da Nova Zelândia, implementamos os mecanismos legais de transferência aplicáveis — incluindo as Cláusulas Contratuais-Padrão da UE, o Adendo de Transferência Internacional de Dados do Reino Unido e as cláusulas-padrão contratuais da ANPD brasileira, sem modificações, nos termos da Resolução CD/ANPD nº 19/2024 (constantes dos Apêndices I a V do Anexo 1 dos nossos Termos de Serviço para Empresas) —, juntamente com salvaguardas contratuais de confidencialidade e salvaguardas técnicas de segurança.

11. Retenção e Exclusão de Dados

Mantemos os Dados Pessoais pelo tempo necessário para fornecer o Serviço e cumprir as finalidades descritas nesta Política de Privacidade:

• Dados do Espaço de Trabalho: Mantidos enquanto o período de teste ou a assinatura paga de um Cliente estiver ativo e durante o período de exportação em modo somente leitura posterior ao término, descrito nos Termos de Serviço para Empresas, após o qual os registros ativos do espaço de trabalho são programados para exclusão e os backups criptografados expiram por meio dos ciclos padrão de rotação de backups.
• Registros de Cobrança de Assinaturas, Fiscais e de Conformidade: Mantidos pelos prazos de retenção exigidos pelas leis fiscais, societárias, contábeis e de auditoria aplicáveis.
• Registros de Segurança, de Diagnóstico e de Suporte: Mantidos pelo período necessário para manter a segurança da plataforma, cumprir as regras legais de guarda de logs (incluindo as leis aplicáveis sobre registros de acesso à internet) e resolver solicitações de suporte ou questões jurídicas.
• Contatos da Lista de Espera e de Marketing: Mantidos até que o contato cancele a inscrição, solicite a exclusão ou seja removido durante a higienização periódica da lista, exceto por registros mínimos de supressão mantidos para respeitar as solicitações de descadastramento (opt-out).

12. Salvaguardas de Segurança e Restrições de Idade

12.1 Controles de Segurança. A Ortalio mantém salvaguardas técnicas e organizacionais destinadas a proteger os Dados Pessoais, incluindo criptografia em trânsito (TLS), criptografia em repouso nos bancos de dados gerenciados em nuvem, isolamento lógico multilocatário por meio de políticas de segurança em nível de linha (row-level security), controles de acesso baseados em funções e separação dos dados do portador do cartão em páginas de checkout hospedadas pela Stripe. Nenhum método de transmissão ou armazenamento é totalmente infalível, e os usuários são responsáveis por proteger suas credenciais de login e seus dispositivos.

12.2 Restrições de Idade e Menores. Nenhuma pessoa menor de 18 anos pode criar ou operar uma conta Ortalio, e a Ortalio não coleta intencionalmente Dados Pessoais diretamente de crianças para as finalidades próprias da Ortalio como Controlador. Quando um Cliente mantiver, em seus registros do espaço de trabalho, informações incidentais relativas a um menor (como uma anotação de contato do domicílio ou um detalhe do local), o Cliente é o Controlador responsável por assegurar que esse registro seja lícito e adequado, e a Ortalio o trata conforme as instruções do Cliente.

13. Seus Direitos de Privacidade e Solicitações

Dependendo da sua jurisdição, você pode ter o direito de solicitar: (a) acesso aos seus Dados Pessoais e uma cópia portável deles; (b) correção de dados inexatos; (c) exclusão dos seus dados; (d) restrição de determinados tratamentos ou oposição a eles; e (e) revogação do consentimento, quando o tratamento se basear em consentimento.

• Envio de Solicitação à Ortalio (Dados em que a Ortalio Atua como Controlador): Envie um e-mail para privacy@ortalio.com informando seu nome, o endereço de e-mail associado à sua interação com a Ortalio, sua jurisdição e o direito que deseja exercer. Verificaremos sua identidade (normalmente por confirmação por e-mail) antes de atender à solicitação. Se você estiver utilizando um representante autorizado, exigiremos autorização por escrito e verificação de identidade.
• Recursos: Se nos recusarmos a atender a uma solicitação, você poderá recorrer da nossa decisão respondendo à nossa resposta ou enviando um e-mail para privacy@ortalio.com com o assunto "Recurso de Privacidade".
• Solicitações de Clientes Finais de um Prestador de Serviços: Entre em contato diretamente com o prestador de serviços ou a empresa de serviços. Se você entrar em contato conosco e identificar o prestador de serviços, encaminharemos sua solicitação a esse prestador de serviços.

14. Disposições por país e região

15. Alterações a Esta Política de Privacidade

Podemos atualizar esta Política de Privacidade periodicamente. Se fizermos alterações relevantes, atualizaremos a versão e a data no topo desta página e enviaremos aviso prévio aos Clientes ativos por e-mail ou por notificação no aplicativo.