Controladora dos dados
BTM SERVIÇOS DE TECNOLOGIA LTDA, inscrita no CNPJ sob o nº 58.110.599/0001-04, com sede na Rua Visconde de Pirajá, nº 430, sala 606, Ipanema, Rio de Janeiro, RJ, e-mail privacy@ollie.shop, que atua como Controladora dos Dados Pessoais lhe fornecidos diretamente por seus titulares, seja na utilização de seu site ou na prestação de seus serviços ou Operadora dos Dados Pessoais de terceiros obtidos através e para a prestação de seus serviços. Os dados coletados através de seu site têm a finalidade de que a Ollie possa se comunicar com você exatamente para a consecução dos serviços oferecidos pelo site, enquanto os dados coletados através dos serviços prestados pela Ollie têm a finalidade exclusiva de que a Ollie possa prestar corretamente os serviços por ela oferecidos e de seu interesse. A Ollie poderá eventualmente compartilhar dados com as empresas provedoras de infraestrutura de tecnologia e operacionalização estritamente necessários para o exercício das suas atividades. Ou seja, a Ollie utiliza os dados coletados para uso exclusivo interno com a finalidade de prestar o melhor serviço aos seus clientes diretos e indiretos. Papéis de controladora e operadora (Art. 5º, VI e VII, da LGPD):- Para os dados de configuração da loja e os dados cadastrais de lojistas, parceiros e visitantes do site: a Ollie atua como Controladora
- Para os dados das sessões de checkout: a Ollie atua como Operadora em nome dos lojistas, que são os Controladores
- Para os dados de logs: a Ollie atua como Controladora Conjunta com os lojistas, com as seguintes responsabilidades:
- Os lojistas definem o prazo de retenção dos logs (dentro do limite máximo da Ollie, de 30 dias)
- A Ollie implementa as medidas técnicas de anonimização automática e de controle de acesso
- Ambas as partes respondem às solicitações de titulares relativas às suas respectivas atividades de tratamento
- E-mail: privacy@ollie.shop
- Encarregado: Bruno Moreira, CTO
Escopo desta política
A presente política de privacidade se aplica a todos que tenham, de alguma forma, seus dados pessoais tratados pela Ollie, seja na utilização de seu site, na contratação de seus serviços ou em outras interações com a empresa.Dados pessoais coletados
Para a Ollie é indispensável a coleta de informações que dizem respeito a você. Estas informações são chamadas de dados pessoais, conforme previsto nos incisos I e II do Art. 5º. da LGPD: A Ollie utiliza, armazena e trata dados pessoais de natureza cadastral, fornecidos pelos próprios titulares e inseridos em sistema utilizado pela empresa, para criação de usuários, consulta a arquivo de documentos, auditorias, comunicação interna, indicadores, instruções, mapa de processos, objetivos, metas, políticas, procedimentos e registros. São eles:Nome E-mail Telefone CPF ou CNPJ Endereço
Os titulares que informarem dados pessoais de terceiros devem se certificar que possuem autorização para fazê-lo, não tendo a Ollie responsabilidade sobre este ato.
A Ollie não coleta ou solicita dados pessoais sensíveis através da Plataforma, porém, caso os titulares decidam voluntariamente informar eventuais dados pessoais sensíveis, expressamente consentem com o tratamento desses dados em concordância com o descrito nesta política de privacidade.
Durante a utilização do site da Ollie ou de sua plataforma, caso os usuários sejam conduzidos, via link, a outro site, estes deverão se certificar da política de privacidade do site que estão visitando, vez que a Ollie, não se responsabiliza pela coleta e uso de dados pessoais e pelo conteúdo dos sites de terceiros.
Como a Ollie trata os dados do checkout
A Ollie opera como uma plataforma de checkout headless, que personaliza a experiência de checkout entre os compradores e as plataformas de comércio eletrônico dos lojistas. Nossa arquitetura foi desenhada para minimizar o armazenamento de dados pessoais: Tratamento transitório:- Os dados do checkout (itens do carrinho, dados do comprador e endereços) trafegam pela infraestrutura da Ollie sem armazenamento persistente
- Os dados pessoais são tratados em tempo real e encaminhados à plataforma de comércio do lojista, que é o sistema de registro dos pedidos
- Os dados de pagamento são transmitidos diretamente do navegador do comprador para a plataforma de comércio e nunca passam pelos servidores da Ollie
- Configurações da loja e da personalização do checkout de cada lojista
- Funções serverless fornecidas pelo lojista para personalizar o checkout
- Registros (logs) do sistema (ver a seção “Registros e retenção de dados” abaixo)
- Dados enviados nos formulários do checkout ou o conteúdo dos carrinhos
- Dados pessoais dos compradores provenientes das sessões de checkout, exceto temporariamente nos logs
- Dados de cartão de pagamento
- Endereços de entrega ou de cobrança das transações, exceto temporariamente nos logs
Finalidades do tratamento
A Ollie trata dados pessoais para as seguintes finalidades:- Cumprimento de obrigações legais e/ou regulatórias emanadas por autoridades e/ou órgãos governamentais, como, por exemplo, pagamentos de taxas, tributos e demais contribuições legais recolhidas ao Erário Público.
- Contato com clientes, parceiros comerciais e profissionais com interesses nas atividades exercidas pela empresa.
- Agregar conteúdo ao site e às atividades da Ollie.
- Atender às solicitações e dúvidas acerca dos serviços oferecidos.
- Divulgação de conteúdos sobre relacionamento, comunicação e eventos promovidos pela Ollie.
- Envio de comunicados institucionais.
- Execução de contrato ou de procedimentos preliminares relacionados a contrato do qual você seja parte.
- Atendimento aos interesses legítimos da Ollie, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
- Confiabilidade do sistema, monitoramento de segurança e ferramentas de depuração para os lojistas, por meio da retenção limitada de logs.
Compartilhamento de dados
A Ollie atua como uma camada de tratamento transitório e não armazena nem compartilha de forma persistente os dados pessoais das sessões de checkout. Os dados pessoais trafegam pela nossa infraestrutura e são encaminhados diretamente para:- Plataforma de comércio do lojista: o sistema de registro que armazena e trata os pedidos, perfis de clientes e transações
- Ordem judicial: mediante ordem judicial ou requerimento de autoridade com competência legal para tal
- Obrigações legais e regulatórias: para cumprir obrigações emanadas por autoridades ou órgãos governamentais, como o pagamento de taxas, tributos e demais contribuições legais
- Consentimento ou legítimo interesse: mediante o seu consentimento ou com base em nosso legítimo interesse
- Provedores de infraestrutura: com a Amazon Web Services (AWS) e a Vercel, que hospedam a plataforma, inclusive os logs, sempre mediante contrato escrito com cláusulas de confidencialidade e proteção de dados
- Suboperadores: conforme listados no Acordo de Tratamento de Dados (DPA), disponível mediante solicitação
- Auditoria: com empresas de auditoria, para verificar informações financeiras e contábeis necessárias à prestação dos serviços e ao cumprimento de obrigações legais
- Os logs são acessíveis apenas ao lojista responsável e a profissionais autorizados da Ollie
- Os logs podem estar sujeitos a requisições de divulgação por autoridades competentes durante o período de retenção
Medidas de segurança implementadas para proteção de seus dados pessoais
Os dados pessoais objeto de tratamento pela Ollie são monitorados e supervisionados constantemente, e adotamos as seguintes medidas para promover a segurança das informações:- Realizado mapeamento e registro de todas as suas atividades de tratamento de dados, nos termos do Art. 37 da LGPD.
- Elaboração de Plano de Resposta e Contingência em caso de incidentes de segurança envolvendo dados pessoais, nos termos do Art. 50, § 2º, “g” da LGPD.
- Treinamento e orientação de colaboradores visando implementação de cultura pró-privacidade e, consequentemente, a mitigação de riscos técnicos e jurídicos com base na LGPD.
- Equipe de Tecnologia e Segurança da Informação.
- Introdução de medidas técnicas e administrativas aptas a proteger os dados pessoais, tais como, criptografia, controle de hierarquia para acesso aos bancos de dados, etc.
- Apontamento e designação de Encarregado pelo tratamento de dados pessoais - DPO, conforme disposto no Art. 41 da LGPD.
- Estabelecimento de um programa de governança em privacidade: estabelecendo regras de governança a fim de assegurar a efetividade da proteção de dados e manter atualizado o regime de funcionamento, os procedimentos, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao uso dos dados pessoais.
- Revisão de todos os instrumentos contratuais celebrados com terceiros onde haja transferência de dados pessoais, de forma a contemplar cláusulas padrão atinentes à proteção de dados pessoais e privacidade.
- Celebração de contratos com os agentes de tratamento de dados, contemplando cláusulas específicas para tratar de proteção de dados pessoais e privacidade.
- Criação de Política de Retenção de Dados, onde estarão previstos os procedimentos para armazenamento e apagamento dos dados de todos os sistemas e arquivos da empresa.
- Adoção de processos físicos e/ou eletrônicos para registros e gestão apropriada das solicitações de titulares de dados e políticas de tratamento.
Direitos do titular
Os titulares de dados pessoais poderão solicitar o exercício de seus direitos previstos na LGPD, especialmente aqueles inscritos em seu Art. 18, tais como, por exemplo:- Confirmação: confirmação da existência de tratamento.
- Acesso: acesso aos dados.
- Correção: correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
- Portabilidade: portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa do titular.
- Eliminação: eliminação dos dados tratados com o consentimento do titular.
- Informação sobre compartilhamento: informações sobre as entidades públicas ou privadas com as quais houve compartilhamento de dados.
- Informação sobre consentimento: informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
- Revogação do consentimento: revogação do consentimento a qualquer momento.
- Petição à ANPD: peticionar em relação aos seus dados contra o controlador perante a ANPD (Art. 18, § 1º).
Exercício dos direitos
Para qualquer solicitação referente ao exercício de direitos previstos na LGPD, disponibilizamos o canal de contato através deste e-mail privacy@ollie.shop. É fundamental e imprescindível que no seu e-mail haja a identificação inequívoca do requerente, bem como a descrição objetiva da sua pretensão, para que possamos responder à sua solicitação. A confirmação de existência de tratamento e o acesso aos dados serão fornecidos de forma simplificada, imediatamente, ou por declaração clara e completa em até 15 dias contados do requerimento, nos termos do Art. 19 da LGPD.Exercício de direitos em relação aos dados de checkout
Como a Ollie atua como operadora dos dados de checkout, as solicitações relativas a esses dados devem ser dirigidas preferencialmente ao lojista, que é o controlador. Se a solicitação chegar à Ollie, ela será encaminhada ao lojista, e a Ollie prestará o apoio necessário ao seu atendimento.Exercício de direitos em relação aos dados de logs
Para os dados pessoais que possam constar dos logs do sistema:- Solicitações de acesso: a Ollie informa se seus dados pessoais constam dos logs, embora os logs sejam indexados por identificadores de sessão, e não pela identidade do titular
- Solicitações de eliminação: você pode solicitar a eliminação dos seus dados dos logs antes do prazo de anonimização automática. Informe identificadores de sessão ou horários para ajudar a localizar os dados
- Anonimização automática: todos os dados pessoais nos logs são anonimizados de forma automática e irreversível no prazo configurado (máximo de 30 dias), independentemente de solicitação
Registros e retenção de dados
Registros do sistema e ferramentas de depuração
A Ollie utiliza ferramentas centralizadas de observabilidade (incluindo o Grafana) para monitorar o desempenho do sistema e permitir que os lojistas depurem e aprimorem continuamente suas implementações de checkout personalizadas. Durante a operação normal, os logs do sistema podem conter temporariamente dados pessoais das sessões de checkout, incluindo:- Endereços de e-mail
- Nomes dos compradores
- Endereços de entrega e de cobrança
- Identificadores de pedido e de sessão
- Metadados das requisições
Retenção limitada dos logs com anonimização automática
Para equilibrar a necessidade operacional das ferramentas de depuração com a proteção da privacidade e a conformidade com a LGPD, a Ollie implementa um sistema automatizado de anonimização de logs: Prazos de retenção:- Os logs com dados pessoais são mantidos em sua forma original por um prazo configurável pelo lojista (máximo de 30 dias)
- Essa janela de retenção permite que os lojistas depurem problemas, rastreiem erros e aprimorem suas implementações de checkout
- Após o prazo configurado, todos os dados pessoais nos logs são anonimizados de forma automática e irreversível
- Os dados pessoais (endereços de e-mail, nomes, endereços e outros) são mascarados ou removidos automaticamente dos logs após o prazo de retenção
- A anonimização é feita por algoritmos de reconhecimento de padrões
- Permanecem apenas metadados técnicos e informações de diagnóstico que não permitem identificar o titular por meios técnicos razoáveis, nos termos do Art. 12 da LGPD
- O processo de anonimização é automático e irreversível
- Cada lojista pode configurar o prazo de retenção de dados pessoais nos logs (desde a anonimização imediata até o máximo de 30 dias)
- Os lojistas podem ajustar essa configuração conforme seus requisitos de conformidade e suas necessidades de depuração
- O acesso aos logs com dados pessoais é restrito:
- ao lojista responsável pela implementação do checkout
- a profissionais autorizados da Ollie, para fins críticos de confiabilidade e segurança do sistema
- Controles de acesso baseados em função garantem a separação estrita entre os dados de cada lojista
- Todo acesso aos logs é registrado e monitorado
- Instruções do lojista: quando atua como operadora, a Ollie trata os dados dos logs conforme as instruções do lojista, que define a base legal aplicável
- Legítimo interesse (Art. 7º, IX, e Art. 10 da LGPD): no tratamento que realiza como controladora conjunta, para garantir a confiabilidade e a segurança do sistema e permitir que os lojistas depurem e aprimorem seus serviços
Resumo da retenção de dados
Dados de configuração e operação:- Configurações da loja e da personalização do checkout: mantidas durante a relação com o lojista
- Configurações excluídas: eliminadas em até 30 dias
- Dados das sessões de checkout (itens do carrinho, dados do comprador): não retidos pela Ollie
- Esses dados são tratados de forma transitória e encaminhados à plataforma de comércio do lojista
- Logs com dados pessoais:
- Forma original, com dados pessoais: prazo configurável pelo lojista (máximo de 30 dias)
- Forma anonimizada (dados pessoais removidos): mantidos por prazo indeterminado para análise técnica
- Métricas de uso agregadas e anonimizadas: mantidas por prazo indeterminado
- Dados cadastrais de lojistas, parceiros e visitantes do site: mantidos pelo prazo necessário ao cumprimento de obrigações legais, regulatórias e contratuais, considerando também os prazos prescricionais para o exercício de direitos pelos titulares ou pela própria Ollie
- O Encarregado revisa periodicamente a base de dados para determinar quais dados devem ser mantidos ou eliminados com segurança
- Encerrado o tratamento, os dados são eliminados, ressalvadas as hipóteses de conservação do Art. 16 da LGPD
Estrutura de conformidade com a LGPD
Privacidade desde a concepção
A plataforma da Ollie aplica os princípios de privacidade desde a concepção (Art. 46, § 2º, da LGPD) para minimizar os riscos à privacidade:- Minimização de dados: tratamos apenas o mínimo de dados pessoais necessário à operação do sistema
- Tratamento transitório: os dados do checkout trafegam pelo nosso sistema sem armazenamento persistente
- Anonimização automática: os dados pessoais nos logs são removidos automaticamente após um prazo limitado e configurável (máximo de 30 dias)
- Criptografia: todos os dados em trânsito são criptografados com TLS 1.2 ou superior
- Controle de acesso: controles rigorosos baseados em função limitam a exposição de dados pessoais
- Certificação PCI DSS Nível 1: como Provedor de Serviços, reavaliada anualmente, demonstrando a adesão a padrões rigorosos de segurança para ambientes de pagamento
Transferência internacional de dados
A infraestrutura da Ollie é hospedada pela Amazon Web Services (AWS) e pela Vercel em diversas regiões. Para transferências de dados pessoais para fora do Brasil:- Realizamos a transferência com base no Art. 33 da LGPD, por meio de instrumentos contratuais com cláusulas-padrão de proteção de dados.
- Acordos de Tratamento de Dados (DPA) com as cláusulas aplicáveis estão disponíveis a todos os lojistas mediante solicitação
- Os lojistas podem solicitar informações sobre as localidades específicas de tratamento pelo e-mail privacy@ollie.shop
Acordos de tratamento de dados (DPA)
O Acordo de Tratamento de Dados (DPA) padrão da Ollie está disponível a todos os lojistas e inclui:- Cláusulas aplicáveis às transferências internacionais de dados
- Medidas de segurança e salvaguardas técnicas
- Lista de suboperadores e procedimentos de notificação
- Procedimentos de atendimento a solicitações de titulares
- Obrigações de comunicação de incidentes de segurança