A quem esta política se aplica
Esta política explica o tratamento de dados pessoais no site orusfy.com, no aplicativo app.orusfy.com e nos recursos de integração da Órusfy. Ela contempla visitantes do site, titulares de contas, membros de workspaces e pessoas cujos dados sejam recebidos nas operações conectadas à plataforma.
A Órusfy centraliza relatórios, atribuição, dashboards e recursos de mensuração. O uso do serviço também é descrito nos Termos de Uso. Esta política não substitui os avisos de privacidade dos sites, formulários, anunciantes e providers com os quais o usuário se relaciona.
Quem decide sobre o tratamento
A Órusfy atua como controladora dos dados usados para administrar sua própria relação com usuários e visitantes, como cadastro, cobrança, segurança e atendimento. Sua identificação provisória está apresentada nesta página.
Quando um usuário conecta sua operação e define quais dados de clientes, leads ou visitantes serão tratados e para quais finalidades, esse usuário ou a organização que ele representa normalmente atua como controlador. A Órusfy atua como operadora na execução dessas instruções, conforme a funcionalidade contratada. Os papéis dependem de cada tratamento; não se transferem automaticamente pela simples conexão de uma conta.
Se você é cliente ou visitante de uma operação que usa a Órusfy, procure inicialmente o responsável por essa operação. A Órusfy poderá auxiliá-lo na identificação do controlador e no atendimento dos direitos aplicáveis, observados o vínculo e as permissões de acesso.
Quais dados podem ser tratados
- Conta e assinatura: nome, e-mail, CPF ou CNPJ, credenciais protegidas, informações de autenticação, preferências, plano, histórico de contratação, faturamento e situação de pagamentos.
- Conexões de publicidade: identificação de perfil e e-mail disponibilizados pelo provider, contas e ativos autorizados, campanhas, conjuntos, anúncios, criativos, configurações, orçamento, métricas e relatórios, além dos tokens necessários para manter a conexão autorizada.
- Pedidos e leads: identificação de pedidos e formulários, produtos, quantidades, valores, moeda, status, forma de pagamento, frete, datas, UTMs e dados de contato ou endereço presentes no evento ou webhook recebido.
- Identificação e mensuração: quando disponíveis na origem e pertinentes à configuração, e-mail, telefone, nome, sobrenome, cidade, estado, país, CEP, data de nascimento, gênero, identificadores externos, IP, agente do navegador, endereço da página, referência de origem, identificadores de clique e de navegador, como fbp, fbc e identificadores do Google.
- Dados técnicos: registros de acesso, dispositivo, idioma, resolução, fuso horário, eventos de navegação, diagnóstico de integrações e sinais técnicos usados para distinguir sessões ou dispositivos. O script pode combinar características do navegador, inclusive canvas, para gerar um identificador técnico; isso também é chamado de fingerprint.
- Atendimento e IA: mensagens, arquivos ou informações enviados voluntariamente para suporte ou a funcionalidades de inteligência artificial, quando utilizadas.
Nem todo dado é coletado em todo evento. O conteúdo depende das integrações e dos campos disponíveis na origem. Webhooks podem trazer o conteúdo original enviado pela plataforma de origem. Não envie senhas de terceiros, códigos de segurança de cartão, dados de saúde, biometria ou outros dados sensíveis em campos livres ou eventos; essas informações não são necessárias às funções usuais de relatórios e mensuração.
Como os dados chegam à Órusfy
Os dados podem ser informados pelo titular da conta, obtidos pelas APIs autorizadas de Meta e Google, recebidos por webhooks de plataformas de vendas e formulários ou capturados pelos scripts instalados pelo responsável pela operação. Também podem surgir do uso do aplicativo, de solicitações de suporte e do processamento da assinatura.
A conexão OAuth ocorre nas páginas de autorização do provider. A Órusfy recebe a autorização e os tokens correspondentes; o usuário não deve fornecer à Órusfy a senha da sua conta Google ou Meta. As permissões efetivamente concedidas são apresentadas pelo próprio provider.
Para que usamos os dados e com quais fundamentos
- Execução do contrato e procedimentos solicitados: criar e manter a conta, disponibilizar workspaces, consultar relatórios, processar integrações, atribuir resultados, prestar suporte e administrar a assinatura.
- Cumprimento de obrigação legal ou regulatória: manter os registros exigidos, atender obrigações fiscais e responder a determinações legítimas de autoridades.
- Legítimo interesse, quando aplicável: proteger contas, investigar falhas, prevenir fraude e melhorar a operação do serviço, com avaliação de necessidade e dos direitos das pessoas afetadas.
- Consentimento, quando exigido: tratar dados e identificadores para finalidades que dependam de uma escolha válida do titular. A autorização de acesso a uma API não substitui o consentimento ou outra base legal eventualmente necessária para os dados de visitantes e clientes.
- Exercício regular de direitos: conservar elementos necessários a reclamações, cobranças e defesa em procedimentos administrativos ou judiciais.
Ao tratar dados em nome de uma operação conectada, a Órusfy segue suas instruções para a finalidade do serviço. A definição da base legal para a coleta dos dados de terceiros e sua comunicação aos providers cabe ao controlador daquela operação, sem afastar as obrigações próprias da Órusfy.
Com quem os dados podem ser compartilhados
- Providers configurados pelo usuário: Meta Ads, Google Ads e, quando habilitado no pixel, Google Analytics 4, para os eventos, relatórios e finalidades correspondentes. Plataformas de vendas e formulários também participam das integrações escolhidas.
- Fornecedores necessários à operação: serviços de infraestrutura, proteção de tráfego, armazenamento, comunicação e processamento de pagamentos. A assinatura pode envolver o Asaas, que trata dados de cobrança de acordo com suas próprias responsabilidades.
- Pessoas autorizadas pelo usuário: membros do workspace e destinatários de dashboards ou tabelas compartilhados. Quem cria um link de compartilhamento deve avaliar o conteúdo exposto e o risco de encaminhamento desse link.
- Autoridades e proteção de direitos: quando houver obrigação legal, determinação válida ou necessidade de apurar fraude, proteger titulares e exercer direitos.
O envio de informações a um provider segue a integração e as permissões escolhidas. Dados de identificação podem ser normalizados ou transformados em hash quando o contrato técnico do destino assim exigir. Hash não equivale, por si só, a anonimização: a informação pode continuar sendo um dado pessoal.
A Órusfy não comercializa dados pessoais de clientes ou visitantes como produto. Fornecedores e providers podem ter papéis próprios de controlador em parte de suas atividades; seus avisos de privacidade também devem ser considerados.
Dados de Google e Meta
A conexão com Google Ads permite usar os dados autorizados de contas, campanhas e relatórios nas funções visíveis da plataforma. A conexão com Meta permite consultar os ativos autorizados e executar as funcionalidades de gestão disponíveis. O escopo concedido e a ação solicitada determinam o acesso; conectar um provider não autoriza uso irrestrito dos seus dados.
O uso e a transferência de informações recebidas das APIs do Google devem observar a Política de Dados do Usuário dos Serviços de API do Google, inclusive os requisitos de Uso Limitado quando aplicáveis. Esses dados servem às funcionalidades solicitadas, não à revenda, vigilância, análise de crédito ou criação de publicidade personalizada independente pela Órusfy. Acesso humano é restrito ao necessário e às hipóteses autorizadas pela política, como suporte consentido, segurança e obrigação legal.
O usuário pode revisar e revogar a autorização do Google em Conexões da Conta Google e a autorização da Meta nas configurações de integrações da sua conta. Também pode usar a desconexão disponível na Órusfy. Revogar interrompe o acesso autorizado; não apaga automaticamente relatórios históricos ou registros sujeitos à retenção legítima. Para exclusão, siga a seção de direitos abaixo.
Inteligência artificial e conectores
Recursos de IA são opcionais e dependem da configuração utilizada. Mensagens, informações de contexto e métricas necessárias à solicitação podem ser transmitidas ao provider de IA configurado pelo usuário. O usuário deve conferir o destino e seus termos antes de incluir informações pessoais, sigilosas ou de seus clientes.
Conectores de leitura permitem consultar dados do workspace conforme escopos autorizados. Relatórios disponibilizados por esses conectores não exigem expor credenciais de integração ou dados pessoais de compradores. As respostas e o contexto enviados a serviços externos ficam sujeitos também às condições desses serviços. Ativar IA não autoriza a Órusfy a usar dados pessoais da operação para uma finalidade alheia ao serviço solicitado.
Onde os dados podem ser tratados
A infraestrutura e os providers utilizados podem realizar armazenamento ou processamento fora do Brasil. O local depende do serviço conectado e da infraestrutura contratada; não se deve presumir que todo dado permaneça em território brasileiro.
Quando a Órusfy for responsável por uma transferência internacional, ela deverá adotar o mecanismo válido para aquela operação, conforme a LGPD e a regulamentação da ANPD, como as cláusulas contratuais aplicáveis. A integração ou este aviso, isoladamente, não substituem essas garantias.
Por quanto tempo os dados são mantidos
O prazo varia conforme a categoria do dado, a finalidade, a relação contratual, as instruções do controlador e as obrigações legais. Relatórios históricos, dados de conta, cobrança, registros técnicos e backups não têm necessariamente o mesmo prazo. A desconexão de uma conta de anúncios ou a desativação de uma origem não elimina automaticamente o histórico daquela operação.
Dados pessoais devem ser eliminados ou anonimizados quando deixarem de ser necessários, ressalvadas as hipóteses legais de conservação. Solicitações de exclusão são avaliadas considerando obrigações fiscais, prevenção de fraude, exercício de direitos e registros de acesso cuja guarda seja legalmente exigida. Backups podem seguir seu ciclo de substituição, com acesso restrito, sem voltar ao uso rotineiro para outra finalidade.
Segurança e incidentes
A Órusfy utiliza controles de autenticação, permissões e separação por workspace, além de proteções de credenciais e mecanismos técnicos de diagnóstico. O usuário também participa da segurança ao proteger sua senha, usar os recursos de autenticação disponíveis e restringir acesso a contas, chaves, webhooks e links compartilhados.
Nenhum sistema é imune a incidentes. Se houver incidente envolvendo dados pessoais, serão avaliados o impacto, as medidas de contenção e os deveres de comunicação aos controladores envolvidos, aos titulares e à ANPD, quando aplicáveis. Informações de investigação não serão divulgadas de modo a expor credenciais ou prejudicar a proteção de outras pessoas.
Seus direitos e como solicitar atendimento
Nos termos da LGPD, você pode solicitar confirmação do tratamento, acesso, correção, informação sobre compartilhamento, anonimização, bloqueio ou eliminação de dados desnecessários ou irregulares, portabilidade nas condições regulamentares e eliminação de dados tratados com consentimento, observadas as exceções legais. Pode também revogar consentimento, conhecer as consequências da recusa e se opor a tratamento irregular.
Quando aplicável, pode pedir a revisão de decisões tomadas unicamente por tratamento automatizado que afetem seus interesses e informações sobre seus critérios, resguardados os segredos comercial e industrial. Também pode apresentar reclamação à ANPD e aos órgãos competentes.
O atendimento pode exigir confirmação proporcional de identidade e do vínculo com o dado solicitado. Não envie senha, token de acesso ou documentação excessiva. Se a Órusfy atuar como operadora, a solicitação poderá ser encaminhada ao controlador responsável, com o auxílio necessário para sua resposta. Os prazos e limites legais aplicáveis serão observados.
O canal institucional indicado nesta versão ainda é fictício e não deve ser utilizado para solicitações reais. Até sua substituição, usuários com conta devem utilizar o atendimento efetivamente disponibilizado na plataforma; titulares de dados de uma operação podem procurar diretamente seu responsável. Essa indicação provisória não substitui a obrigação de manter um canal real e acessível.
Crianças e adolescentes
A Órusfy é voltada ao uso profissional por pessoas com capacidade para contratar e representantes autorizados de organizações. Não é um serviço dirigido a crianças. O usuário não deve configurar a coleta de dados de crianças ou adolescentes sem avaliar as exigências específicas, a necessidade do tratamento e o melhor interesse do titular. Se identificar dados recebidos indevidamente, informe o responsável pela operação para avaliação e providências.
Alterações e referências
Esta política poderá ser atualizada para refletir mudanças reais no serviço ou nas exigências aplicáveis. A data no início da página identifica a versão publicada. Alterações relevantes deverão ser comunicadas de forma adequada; quando uma nova finalidade exigir consentimento ou nova autorização, a mera alteração deste texto não os substitui.
Referências: Lei Geral de Proteção de Dados Pessoais e Autoridade Nacional de Proteção de Dados.