Política de privacidade

1. Quem trata os seus dados

A Órbita é oferecida pela Mestre Marketing e Publicidade LTDA, CNPJ 26.894.828/0001-24, Avenida Piauí, 914, Cx Postal 316 — Estados, João Pessoa/PB — CEP 58030-331 (“Órbita”, “nós”).

Encarregado de dados: orbita@adsmestre.com.br. É por esse canal que você exerce os seus direitos e tira dúvidas sobre esta política. A Autoridade Nacional de Proteção de Dados (ANPD) também pode ser procurada.

2. A quem esta política se aplica — controladora e operadora

A Órbita trata dados pessoais em dois papéis diferentes, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, “LGPD”):

• Como controladora, dos dados de quem visita este site, de quem cria uma conta ou é convidado para ela (Usuários), de quem paga a assinatura (Clientes) e dos afiliados.
• Como operadora, dos dados de quem visita ou compra nas lojas virtuais criadas na plataforma (Compradores). Nesse caso a controladora é a loja: é ela quem decide o que vender, a quem, e como se comunicar. A Órbita trata esses dados em nome da loja e segundo as instruções dela (as configurações que ela faz na plataforma). Se você comprou numa loja, a política de privacidade da loja vale para você, e é a loja quem responde aos seus pedidos — esta política explica como a plataforma trata esses dados por trás dela.

3. Que dados tratamos

Visitantes deste site

Este site não usa cookies, não guarda nada no seu navegador, não tem formulários nem ferramentas de medição ou anúncio. O servidor que o entrega não grava registro de cada acesso. A página de planos consulta os planos na nossa API, que, como todo o painel, guarda registros técnicos rotativos dos pedidos (endereço IP, data, hora e endereço pedido) para segurança e diagnóstico.

Usuários e Clientes da plataforma (controladora)

• Cadastro: nome, e-mail, senha (guardada só como resumo criptográfico, nunca o texto), confirmação do e-mail, data do último acesso; no cadastro público, também o nome da conta, o plano escolhido, o afiliado que indicou e o endereço IP do pedido.
• Verificação em duas etapas: o segredo do aplicativo autenticador (cifrado) e os códigos de recuperação (só como resumo).
• Sessões e segurança: endereço IP, navegador e datas de cada sessão aberta; tentativas de login; e o registro de auditoria das ações feitas na conta (quem fez, o quê, quando, de que IP e navegador).
• Cobrança: nome ou razão social, CPF ou CNPJ e e-mail de quem paga, faturas e situação dos pagamentos. Os dados de cartão são digitados no ambiente do serviço de cobrança e não passam pela Órbita.
• Afiliados: nome, e-mail, código de indicação, comissões e, no pedido de saque, a chave Pix ou os dados bancários informados.
• Conteúdo da conta: o que o Cliente cadastra (produtos, imagens, textos, configurações) e as credenciais de serviços de terceiros que ele conecta (guardadas cifradas, sem leitura de volta por nenhuma tela).
• Comunicações: registro dos e-mails e avisos enviados, preferências de aviso e endereços que recusaram mensagens (lista de supressão).

Compradores das lojas (operadora, em nome da loja)

• Identificação e contato: nome, e-mail, CPF ou CNPJ, telefone e, se confirmado por código, o celular usado para entrar na loja.
• Entrega: endereços de entrega e endereços salvos na conta da loja.
• Pedidos e pagamentos: itens, valores, forma e situação do pagamento, rastreio e observações. O número do cartão vai do navegador direto ao gateway da loja e nunca é guardado pela plataforma.
• Interações: avaliações (com fotos, quando enviadas), perguntas, favoritos, pedidos de “avise-me quando chegar”, inscrição na lista de e-mails da loja, pedidos de troca e devolução, comprovantes de pagamento manual, mensagens de WhatsApp enviadas à loja e pedidos de titular (cópia ou encerramento do cadastro).
• Consentimentos: aceite de avisos do pedido por SMS ou WhatsApp, de lembretes de carrinho e da lista de e-mails, com data e versão da frase aceita; e a escolha sobre os cookies de medição da loja.
• Origem da venda: a campanha ou o anúncio que trouxe a compra (parâmetros de campanha do endereço), sem identificar a pessoa.
• Visitas: contadas sem cookie, por um resumo criptográfico diário que não permite identificar o visitante; o endereço IP não é guardado.

4. Para que usamos os dados e com que base legal

5. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas o necessário com os prestadores de serviço (suboperadores) abaixo, cada um para a sua função:

• DigitalOcean — hospedagem dos servidores, do banco de dados, das cópias de segurança e dos arquivos enviados.
• Cloudflare — DNS dos domínios e, quando ligada, a verificação contra robôs (Turnstile) no cadastro e na entrada das lojas, que analisa dados técnicos do navegador.
• Asaas — cobrança das assinaturas da plataforma (nome, CPF ou CNPJ e e-mail do pagador).
• ZeptoMail (Zoho) ou outro serviço de envio por SMTP — entrega dos e-mails.
• Twilio — envio de SMS e de mensagens de WhatsApp (telefone e texto da mensagem), pela conta da plataforma ou pela conta da própria loja.
• Anthropic — geração do rascunho de produto por IA: recebe só o texto que o Usuário escreveu para descrever o produto; nem o texto nem a resposta ficam guardados nos nossos registros.
• BrasilAPI e ViaCEP — consulta do endereço pelo CEP (recebem só o CEP).

E, por escolha e com a conta da própria loja (que é a controladora):

• Gateways de pagamento (Asaas, Pagar.me e, para a autenticação 3DS, Stone) — dados do comprador necessários à cobrança e à análise antifraude.
• Transportadoras (Correios, Melhor Envio, Frenet, RTE Rodonaves) — para cotar o frete recebem o CEP de destino e os dados do pacote (peso, medidas e valor), nunca nome, e-mail ou telefone do comprador.
• Ferramentas de medição e anúncio (Google Analytics, Google Ads, Meta, TikTok) — só se a loja ligar e o visitante aceitar no aviso de cookies; recebem eventos de navegação e de compra (páginas, produtos, valor), nunca nome, e-mail, documento ou endereço do comprador.

Também podemos compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente, ou para defender direitos em processo.

6. Transferência internacional

Alguns dos prestadores acima (como DigitalOcean, Cloudflare, Twilio, Anthropic e Zoho) processam dados em servidores fora do Brasil, inclusive nos Estados Unidos. Essas transferências se apoiam nas hipóteses do art. 33 da LGPD, como cláusulas contratuais com o prestador e a necessidade para executar o contrato com você.

7. Cookies e armazenamento no navegador

Este site

Nenhum cookie e nenhum dado guardado no navegador. Por isso ele não mostra aviso de cookies.

Painel

• Cookie de sessão (essencial): mantém você conectado; só pode ser lido pelo servidor, vale para as rotas de login e dura até 30 dias, renovado a cada uso. O código de acesso de curta duração fica só na memória da aba.
• Armazenamento local: o tema escolhido (claro ou escuro) e se você ocultou o quadro de primeiros passos.

Lojas virtuais

Essenciais, sem rastreamento, só lidos pelo servidor da loja e válidos só para ela:

No armazenamento local do navegador a loja guarda as buscas recentes, o CEP calculado (com a opção “esquecer”) e os avisos já vistos — nada disso é enviado à plataforma. Os cookies de medição e anúncio (Google, Meta, TikTok) só são gravados se a loja os ligar e o visitante aceitar; recusar depois os apaga.

8. Por quanto tempo guardamos

9. Os seus direitos

Pela LGPD (art. 18) você pode pedir: confirmação de que tratamos seus dados, acesso a eles, correção, anonimização, bloqueio ou eliminação do que for desnecessário, portabilidade, informação sobre com quem compartilhamos, revogação de consentimento e revisão de decisões automatizadas. Também pode se opor a um tratamento feito com base no legítimo interesse.

• Usuários, Clientes, afiliados e visitantes deste site: peça pelo canal do encarregado (orbita@adsmestre.com.br). Podemos pedir uma confirmação de identidade antes de atender. Respondemos nos prazos da lei.
• Compradores de uma loja: o pedido é feito à loja, que é a controladora — na própria loja, pela página de privacidade (“meus dados”), é possível pedir uma cópia dos dados ou o encerramento do cadastro; a plataforma registra o pedido, avisa a loja e acompanha o prazo. Se a loja não responder, fale com o nosso encarregado.

Alguns dados podem continuar guardados mesmo após um pedido de eliminação, quando a lei obrigar (por exemplo, registros fiscais e de acesso).

10. Como protegemos os dados

• Conexões sempre cifradas (HTTPS).
• Dados de cada conta separados no próprio banco de dados (isolamento por linha), além dos filtros da aplicação.
• Senhas guardadas só como resumo (scrypt); verificação em duas etapas disponível para todos e obrigatória para a equipe da plataforma.
• Credenciais de terceiros, segredos do segundo fator e links de pedido cifrados (AES-256-GCM), sem leitura de volta por nenhuma tela.
• Permissões por papel, conferidas a cada requisição, e registro de auditoria das ações importantes.
• Limites de tentativas contra adivinhação de senhas e códigos, e cópias de segurança diárias.

11. Incidentes de segurança

Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas, nos termos do art. 48 da LGPD. Quando o incidente envolver dados de Compradores, avisaremos a loja (controladora) sem demora indevida, com as informações de que ela precisar para cumprir as próprias obrigações.

12. Crianças e adolescentes

A plataforma não é destinada a menores de 18 anos para a criação de contas. As lojas são responsáveis por observar as regras próprias para dados de crianças e adolescentes, se venderem para esse público.

13. Alterações desta política

Podemos atualizar esta política quando a plataforma ou a lei mudar. A versão em vigor fica publicada nesta página, com a data; mudanças relevantes serão avisadas por e-mail ou no painel.

14. Contato

Encarregado de dados: orbita@adsmestre.com.br. Correspondência: Mestre Marketing e Publicidade LTDA, Avenida Piauí, 914, Cx Postal 316 — Estados, João Pessoa/PB — CEP 58030-331. Telefone comercial: +55 43 99828-0082.