1. Quem somos
O Otis Pay é operado pela Otis Cobranças Ltda., CNPJ 49.212.110/0001-06, com sede na Rua São Paulo, 133, Centro, Santa Fé/PR, CEP 86770-000. A Otis decide sobre o tratamento necessário à administração da plataforma e de suas comissões. A empresa que realiza a venda é responsável pelo cadastro do comprador e pelas decisões sobre sua relação comercial. As responsabilidades de cada empresa dependem da finalidade e da operação realizada. A ERSM Software Ltda. presta desenvolvimento e sustentação técnica, tratando dados em nome da Otis e conforme suas instruções, como operadora. Cada parte responde também pelos tratamentos realizados para cumprir suas próprias obrigações legais.
2. Quais dados tratamos
Podemos tratar nome, CPF ou CNPJ, e-mail, telefone, endereço, dados de acesso, informações sobre vendas, cobranças, antecipações e comissões, registros de auditoria com endereço IP e dispositivo e identificadores da integração com o Asaas. O CPF de vendedores e responsáveis das empresas é tratado quando necessário à assinatura de contratos. Quando a empresa exige contrato assinado, também são tratados o contrato, a assinatura, a selfie e a foto do documento do comprador e os registros técnicos da assinatura, como data, hora e endereço IP. Os dados de cartão não passam pelo Otis Pay: a captura acontece em página hospedada pelo Asaas. No detalhe de uma venda, usuários autorizados podem consultar a bandeira e os quatro últimos dígitos do cartão, obtidos do Asaas no momento da consulta e não armazenados.
3. Para que usamos os dados
Usamos os dados para criar e administrar contas, compradores, vendedores e vendas; gerar contratos e links de pagamento; confirmar a identidade do comprador na assinatura do contrato; encaminhar o comprador ao Asaas; acompanhar cobranças, antecipações e reconciliações; calcular e cobrar comissões; prevenir fraude e abuso; cumprir obrigações legais; proteger direitos; manter a segurança e prestar suporte.
4. Contrato assinado e verificação de identidade
Quando a empresa responsável pela venda exige contrato assinado, o comprador assina o contrato na tela e envia uma selfie e uma foto do documento antes do pagamento, em jornada da ZapSign, plataforma de assinatura eletrônica. A selfie usada para confirmar a identidade é um dado pessoal sensível (biométrico). A selfie e o documento ficam na ZapSign e não são armazenados pelo Otis Pay. O contrato assinado em PDF é guardado em armazenamento privado e só pode ser baixado por usuários autorizados no detalhe da venda.
5. Bases legais
O cadastro e a gestão da compra e da cobrança podem ser necessários à execução do contrato com o comprador. A selfie e a foto do documento são tratadas para garantir a prevenção à fraude e a segurança do titular no processo de identificação, conforme o art. 11, II, "g", da Lei nº 13.709/2018. A conservação de documentos obrigatórios atende a obrigações legais ou regulatórias, e a preservação de provas, como o contrato assinado, pode atender ao exercício regular de direitos. Medidas de segurança e prevenção de abuso podem se apoiar no legítimo interesse, mediante avaliação de necessidade e dos direitos das pessoas afetadas. O responsável por cada operação deve definir a base adequada à sua finalidade. Quando uma atividade depender de consentimento, haverá solicitação específica e possibilidade de revogação; a leitura deste aviso não representa consentimento genérico.
6. Com quem compartilhamos
A empresa responsável pela venda e seus usuários autorizados acessam os dados necessários às suas atividades. O Asaas recebe dados cadastrais e da venda para viabilizar o pagamento, a cobrança e a antecipação, e aplica seus próprios termos e aviso de privacidade à jornada hospedada. A ZapSign recebe os dados do contrato e do comprador necessários à assinatura e à verificação de identidade, e aplica seus próprios termos. A aplicação e o banco de dados são hospedados no Render; logos, contratos assinados e cópias de segurança criptografadas ficam no Supabase. O monitoramento de erros utiliza o Sentry, com medidas para reduzir a coleta de dados pessoais e remover informações confidenciais. A ERSM e esses fornecedores podem acessar dados na medida necessária à operação e ao suporte. Alguns fornecedores mantêm servidores fora do Brasil, como o Render, nos Estados Unidos, o que caracteriza transferência internacional de dados, realizada com fornecedores que adotam medidas de segurança compatíveis. Mais informações sobre os fornecedores podem ser solicitadas à Otis.
7. Segurança e retenção
Adotamos medidas técnicas e administrativas para proteger os dados contra acesso não autorizado, perda, alteração ou divulgação indevida, como criptografia das chaves de integração e das cópias de segurança e isolamento dos dados entre empresas. Mantemos os dados pelo tempo necessário às finalidades informadas, a obrigações legais e regulatórias, à segurança e ao exercício regular de direitos. O histórico operacional de auditoria e os registros técnicos de integração são retidos por 90 dias. As cópias de segurança do banco de dados são mantidas por 30 dias. O contrato assinado é guardado enquanto for necessário para comprovar a contratação e para o exercício regular de direitos, inclusive após o término da venda. A selfie e a foto do documento seguem os prazos de guarda da ZapSign.
8. Direitos do titular
Você pode solicitar confirmação do tratamento, acesso e correção dos dados, informações sobre compartilhamento, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei. Quando aplicável, pode solicitar portabilidade, eliminação dos dados tratados com consentimento, revogar esse consentimento e receber informações sobre a possibilidade de não consentir e suas consequências. Também pode questionar tratamentos irregulares e apresentar reclamação à ANPD. A análise do pedido considera as condições legais e as hipóteses de conservação permitidas. Podemos solicitar informações proporcionais para confirmar sua identidade e evitar acesso indevido aos seus dados.
9. Como falar conosco
Para dúvidas ou solicitações sobre privacidade, escreva para contato@otiscobrancas.com.br. Informe seu nome, a empresa relacionada à compra e uma descrição do pedido. Não envie senhas, dados de cartão ou links de pagamento. A Otis analisará a solicitação e, quando necessário, articulará o atendimento com a empresa responsável pela venda. O contrato assinado também indica o canal de privacidade da empresa vendedora.
10. Cookies e preferências
O painel usa cookies de autenticação para manter a sessão de administradores e vendedores. O cookie de acesso dura até 15 minutos e o de renovação até 30 dias, sujeito a renovação ou encerramento da sessão. A preferência de tema claro ou escuro é armazenada no navegador até ser alterada ou apagada. Bloquear os cookies de autenticação pode impedir o acesso ao painel. O aplicativo do Otis Pay nas lojas abre o mesmo painel web e segue este aviso. O comprador não precisa criar conta ou fazer login para acessar o link de pagamento. As páginas hospedadas do Asaas e da ZapSign podem usar tecnologias próprias, descritas por esses fornecedores.
11. Atualizações
Este aviso pode ser atualizado para refletir mudanças na plataforma, nos fornecedores ou nas exigências legais. A versão vigente ficará disponível nesta página, com a data da última atualização.