Política de Privacidade do aplicativo Órbita Leg

Esta política explica, em linguagem direta, quais dados pessoais o aplicativo Órbita Leg (iOS e Android) trata, para quê, com quem compartilha e por quanto tempo guarda. Ela foi escrita a partir do funcionamento real do aplicativo e da API que o alimenta — descreve o que o programa efetivamente faz, e nada além disso.

O tratamento aqui descrito segue a Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018 (LGPD).

1. Quem trata seus dados e como falar conosco

Controladora: CTYP — CTYP Gerenciamento Ltda, CNPJ 60.931.133/0001-03, com sede na R. Conde de Bonfim, 41, sala 202 — Tijuca, Rio de Janeiro/RJ, CEP 20.520-050.

Encarregado pelo tratamento de dados pessoais (DPO, art. 41 da LGPD): Carlos Eduardo Tosta — contato@orbitaleg.com.br.

Canal de contato sobre privacidade e sobre o aplicativo: contato@orbitaleg.com.br.

Endereço desta política: https://orbitaleg.com.br/privacidade. O servidor do site está configurado para servir esta página também sem a extensão .html.

O Órbita Leg é fornecido pela CTYP a organizações contratantes (associações, empresas estatais, empresas reguladas e outras). Em relação aos dados de conta e de acesso dos usuários, a CTYP atua como controladora; a organização contratante — seu empregador ou a entidade a que você está vinculado — define quem recebe acesso e a quais módulos.

2. Como se obtém acesso ao aplicativo

Não existe cadastro pelo aplicativo. O Órbita Leg não tem tela de criação de conta. O acesso é sempre criado pela equipe da CTYP, por convite enviado por e-mail ao endereço indicado pela organização contratante. Ao receber o convite, você define sua senha no serviço de autenticação (ver item 5) e passa a poder entrar no aplicativo.

Os dados que dão origem à sua conta — nome e e-mail corporativo — são fornecidos à CTYP pela organização contratante, não coletados de você pelo aplicativo.

3. Quais dados são tratados

3.1 Dados da sua conta

Quando o aplicativo é aberto e você está autenticado, ele busca no nosso servidor os dados da sua conta:

• Nome e e-mail cadastrados;
• Papel na plataforma (visualizador ou editor);
• Vínculo com a organização contratante e a identificação visual dela (nome, logotipo, cores) — informação da empresa, não sua;
• Quais módulos estão habilitados para essa organização.

3.2 Credenciais de acesso

Na tela de login você digita e-mail e senha. Esses dados são entregues diretamente ao serviço de autenticação Clerk, que valida o acesso e devolve ao aplicativo um token de sessão. A senha não passa pelos servidores da CTYP e não é armazenada por nós. O token de sessão fica guardado apenas no seu aparelho, no armazenamento seguro do sistema operacional (Keychain no iOS, Keystore no Android).

3.3 Registro de acesso (auditoria)

A cada carregamento do aplicativo — ou seja, cada vez que ele é aberto e valida sua sessão — o servidor grava um registro de acesso contendo:

• seu nome e e-mail, e o nome da organização a que você está vinculado;
• o endereço IP de onde veio a requisição;
• o User-Agent (identificação técnica do aplicativo/sistema que fez a requisição);
• a data e a hora.

Esse é o único evento registrado pelo aplicativo. O aplicativo não registra o que você lê: nenhuma tela, edição do Diário, proposição, contato ou notícia consultada gera registro no servidor.

3.4 Notificações (token de push)

Se — e somente se — você autorizar as notificações, o aplicativo obtém um token de notificação junto ao serviço de push da Expo. É o endereço técnico para o qual as notificações do Órbita Leg são enviadas. A operação envolve dois destinos distintos, e vale separar com precisão o que vai para cada um.

O que chega ao servidor da CTYP: apenas o token de notificação (no formato ExponentPushToken[…]) e a plataforma (ios ou android). Nada além disso — nem modelo do aparelho, nem número de série, nem identificador de publicidade. O aplicativo não embarca biblioteca de identificação de dispositivo (expo-device não é dependência) e não lê IDFA, AAID, Android ID, IMEI nem endereço MAC.

O que sai do aparelho para emitir esse token. Para gerar o token, a biblioteca de notificações executa, no seu aparelho, um registro junto ao serviço da Expo. Nesse registro saem do aparelho, além do que já foi dito:

• o identificador de instalação do aplicativo — um identificador gerado pelo próprio aplicativo, que vale enquanto ele estiver instalado e desaparece na desinstalação. Não é identificador de publicidade, não é número de série do aparelho e não é compartilhado com outros aplicativos;
• o identificador do pacote do aplicativo (br.com.ctyp.orbitaleg) e o identificador do projeto na Expo;
• o token nativo de push emitido pelo sistema operacional — pelo Firebase Cloud Messaging (Google) no Android, pelos APNs (Apple) no iOS —, que é distinto do token da Expo.

Esses três itens vão para a Expo, não para a CTYP. E antes desse passo o próprio aparelho se registra diretamente no Firebase Cloud Messaging (Android) ou nos APNs (iOS) para obter o token nativo: Google e Apple recebem um registro vindo do seu aparelho, não apenas um repasse da Expo.

Se você recusar a permissão de notificações, nada disso acontece — o aplicativo nem chega a pedir o token.

Quando você sai da conta (logout), o aplicativo desativa esse token antes de encerrar a sessão, e as notificações param.

3.5 Suas ações dentro dos alertas

Duas ações suas são gravadas no servidor, ligadas apenas à sua conta: marcar um alerta como lido e ajustar suas preferências de alerta.

3.6 Dados que ficam apenas no seu aparelho

Guardados no armazenamento seguro do sistema operacional, nunca enviados ao nosso servidor:

• o token de sessão do login;
• a lista de edições do Diário que você marcou como lidas (limitada às 200 mais recentes);
• a lista de compromissos que você já reservou na sua agenda (limitada aos 200 mais recentes), para o aplicativo não oferecer duas vezes a mesma reserva.

Desinstalar o aplicativo apaga esses dados do aparelho.

3.7 Compromissos gravados na sua agenda

Quando você escolhe reservar um compromisso, o aplicativo cria o evento diretamente no calendário do seu aparelho, com título, data e hora, local, descrição e link de transmissão — informações que já vieram do conteúdo do próprio Órbita Leg. Nada dessa operação retorna ao nosso servidor, e o aplicativo não lê os eventos existentes da sua agenda: ele apenas localiza um calendário no qual possa gravar.

3.8 Conexões a serviços de mídia

Algumas imagens exibidas no aplicativo (fotos de autoridades e, quando o módulo de redes sociais está habilitado, as mídias das publicações) são carregadas diretamente do servidor de arquivos ou da rede de distribuição de origem. Como toda requisição na internet, isso expõe o endereço IP do seu aparelho a esses serviços. A CTYP não recebe registro dessas requisições.

4. Finalidades e bases legais

5. Com quem compartilhamos e transferência internacional

A CTYP não vende, não aluga e não cede seus dados pessoais para fins comerciais ou publicitários. Os dados são acessíveis apenas à equipe da CTYP responsável pelo serviço e aos fornecedores de tecnologia indispensáveis para operá-lo, listados abaixo. Cada um deles trata os dados sob instrução da CTYP e para a finalidade descrita.

Os cinco últimos fornecedores da tabela — Anthropic, DeepSeek, Groq, Apify e Steel.dev — tratam conteúdo do produto, não dados da sua conta de usuário. Eles aparecem aqui porque a política também alcança as pessoas de que trata o item 8.

Distribuição por WhatsApp (fora do aplicativo). Parte dos avisos e das aprovações da operação da CTYP circula por WhatsApp, por meio de um serviço de envio hospedado na própria infraestrutura da CTYP. O aplicativo Órbita Leg não participa disso, e o seu cadastro de usuário do aplicativo não é usado nesse canal — mas o conteúdo trafegado (que pode incluir dados das pessoas de que trata o item 8) passa pela rede do WhatsApp, operada pela Meta, fora do Brasil. Optamos por manter esta informação aqui, mesmo o canal estando fora do aplicativo: a política também alcança as pessoas de que trata o item 8, e o conteúdo que circula por esse canal é o mesmo. Omitir seria esconder um fluxo real de dados por uma questão de recorte.

Transferência internacional de dados (arts. 33 a 36 da LGPD). Os fornecedores acima operam servidores fora do Brasil. Ao usar o Órbita Leg, seus dados de autenticação e de notificação são tratados no exterior por esses fornecedores, sob contrato com a CTYP. A transferência se apoia nos contratos e adendos de proteção de dados (DPA) publicados pelos próprios fornecedores e aceitos pela CTYP na contratação de cada serviço.

Hospedagem da nossa API e do banco de dados: servidor privado contratado junto à Hostinger, no Brasil — o endereço IP do servidor está registrado em nome da Hostinger International Limited (AS47583), com localização em Campinas/SP. Os dados da sua conta e o conteúdo do produto ficam, portanto, armazenados em território brasileiro; as transferências internacionais desta seção dizem respeito apenas aos fornecedores listados acima.

A CTYP também poderá compartilhar dados quando houver obrigação legal ou ordem de autoridade competente.

6. O que o aplicativo não faz

As afirmações abaixo foram verificadas diretamente no código do aplicativo. O Órbita Leg não embarca nenhuma biblioteca de publicidade, de analytics de produto ou de monitoramento de falhas — com uma ressalva de telemetria técnica, explicada logo após a lista.

Uma ressalva: telemetria técnica da biblioteca de autenticação

A biblioteca do Clerk, usada para o login, traz embutido um coletor de telemetria de desenvolvimento do próprio Clerk. Ele não trata dados do usuário: envia ao Clerk apenas a chave pública do aplicativo, a versão da biblioteca e o nome do evento de interface — nada de nome, e-mail, senha ou conteúdo consultado. Esse coletor é desligado automaticamente pelo próprio Clerk quando o aplicativo roda com chave de produção; ele só funciona em instância de desenvolvimento. A versão do aplicativo distribuída para instalação usa a chave de produção — essa telemetria, portanto, fica desligada.

7. Permissões do aparelho e como revogá-las

O aplicativo pede duas permissões ao usuário, ambas depois do login e nenhuma delas obrigatória para usar o serviço. Há ainda uma terceira permissão que a versão de iOS declara hoje sem que o aplicativo a utilize — ela está descrita ao final deste item, por transparência.

Notificações

Pedida uma única vez, após o primeiro login bem-sucedido. Se você recusar, o aplicativo continua funcionando normalmente — apenas não recebe alertas, e nenhum token é enviado ao servidor. Para revogar depois: Ajustes › Órbita Leg › Notificações (iOS) ou Configurações › Aplicativos › Órbita Leg › Notificações (Android). Revogar no sistema interrompe a entrega; o registro do token no nosso servidor é desativado quando você faz logout no aplicativo ou quando o serviço de push informa que o aparelho não está mais registrado. Você também pode pedir a desativação pelo canal de contato do item 1.

Calendário

Pedida somente quando você toca para reservar um compromisso. O aplicativo pede a permissão de calendário em bloco, para leitura e escrita — mas exerce apenas a escrita do evento que você pediu, e não lê o conteúdo da sua agenda. Essa amplitude não é exigência do sistema operacional: o iOS 17 e versões posteriores oferecem um modo restrito, só de escrita, que a biblioteca de calendário usada hoje pelo aplicativo (expo-calendar 14) ainda não expõe. A CTYP acompanha a evolução da biblioteca para adotar o pedido somente-escrita assim que disponível. Para revogar: Ajustes › Órbita Leg › Calendários (iOS) ou Configurações › Aplicativos › Órbita Leg › Permissões › Calendário (Android). Revogar a permissão não apaga os eventos já criados: eles são seus e ficam no seu calendário até que você os exclua.

Lembretes (iOS) — declarada, não utilizada

Por transparência: a biblioteca de calendário usada pelo aplicativo declara, por padrão, também a permissão de Lembretes na versão de iOS, junto com a de Calendários. Isso é comportamento da biblioteca, não uma escolha do produto — e o Órbita Leg não usa Lembretes: não cria, não lê e não altera lembrete nenhum. Essa declaração foi removida da configuração do aplicativo, de modo que a versão publicada nas lojas não pede acesso a Lembretes. O aplicativo pede apenas o acesso ao calendário, e só quando você toca para reservar um compromisso.

No Android

Além das permissões acima, a biblioteca de notificações declara no Android a permissão técnica de reinício do aparelho (RECEIVE_BOOT_COMPLETED), que serve apenas para o aplicativo voltar a poder receber notificações depois que o aparelho é reiniciado. É uma permissão classificada pelo Android como normal, concedida automaticamente, e não dá acesso a nenhum dado seu.

Nenhuma outra permissão é solicitada. Não há permissão de localização, contatos, câmera nem microfone. Uma biblioteca de base do Expo declara, por padrão, permissões de leitura e gravação no armazenamento externo do Android; como o Órbita Leg não guarda nem baixa arquivos, essas duas permissões são explicitamente bloqueadas na configuração do aplicativo (blockedPermissions) e não constam do pacote publicado.

8. Dados de pessoas que não são usuárias do aplicativo

Parte do conteúdo do Órbita Leg contém dados pessoais de agentes públicos e pessoas com atuação pública, tratados no contexto da atividade de acompanhamento legislativo e regulatório dos nossos clientes:

• Contatos: nome parlamentar e nome civil completo, cargo, casa legislativa, partido, UF, número do mandato, foto, data de nascimento, naturalidade, telefone de gabinete, celular, e-mail institucional, endereço de gabinete, perfis em redes sociais, perfil descritivo (formação, cargos públicos anteriores, comentários) e anotações de relacionamento (status, última interação e notas registradas pela equipe), além das comissões de que a pessoa participa e em que papel.
• Comissões: além do nome, telefone e e-mail da secretaria da comissão — o nome do secretário, a sala, o horário de reunião, o site da comissão e a lista completa de membros, com nome, papel (presidente, vice, titular, suplente), partido e UF de cada um.
• Redes sociais: autor, perfil, cargo, partido, texto e mídia de publicações públicas de parlamentares e personalidades monitoradas — e, atribuídos a cada publicação por classificação automatizada, um tema, etiquetas e uma orientação (favorável, contrária ou neutra em relação ao assunto monitorado). O aplicativo indica quando a orientação foi atribuída automaticamente.

Esses dados têm origem em fontes públicas oficiais (Câmara dos Deputados, Senado Federal, Congresso Nacional, diários oficiais) e em publicações abertas em redes sociais — com exceção das anotações de relacionamento, que são produzidas pela própria equipe da CTYP e de seus clientes.

Base legal e classificação automatizada

O tratamento se apoia no legítimo interesse da CTYP e de seus clientes no acompanhamento da atividade parlamentar e regulatória (art. 7º, IX, observado o art. 10 da LGPD). A maior parte desses dados é tornada pública pelos próprios órgãos ou pelos titulares, hipótese em que se aplica também o art. 7º, §4º, sem que isso dispense as demais obrigações da lei.

Decisão automatizada (art. 20 da LGPD). A atribuição automática de tema, etiquetas e orientação a uma publicação é feita por sistema, sem intervenção humana prévia, e é exibida associada a uma pessoa identificada. Ela é executada por um modelo de inteligência artificial de fornecedor externo — a DeepSeek, indicada no item 5 —, para o qual o texto da publicação é enviado. O mesmo fornecedor monta o perfil descritivo da autoridade citado acima. Quem for objeto dessa classificação pode solicitar a revisão e informações sobre os critérios adotados, pelo canal do item 1. A classificação não produz, por si, efeito jurídico sobre o titular: serve à organização do acompanhamento feito pelos clientes da CTYP.

Transparência sobre o escopo: as bases de Contatos e Comissões são compartilhadas entre todos os clientes que têm esses módulos habilitados — inclusive as anotações de relacionamento registradas na ficha da autoridade. Os demais módulos (Diário, Agenda, Monitores, Clipping, Redes) são estritamente segregados por cliente.

Pessoas cujos dados aparecem nesses módulos podem exercer seus direitos pelo canal indicado no item 1.

9. Por quanto tempo guardamos

Como a eliminação acontece: uma rotina automática roda diariamente e apaga, em definitivo, os registros que ultrapassaram os prazos acima, guardando um registro contábil de cada execução (quantos itens, de que tipo, em que data) — é com ele que respondemos a quem perguntar o que foi apagado. A rotina está entrando em operação de forma gradual: cada categoria é ativada individualmente, sempre depois de uma rodada de conferência em que a rotina apenas conta o que apagaria, sem apagar. Enquanto uma categoria ainda não estiver ativa, a eliminação correspondente é feita mediante pedido, pelo canal do item 1.

Um ponto de transparência: quando sua conta é excluída da nossa base, o cadastro correspondente no serviço de autenticação (Clerk) não é apagado automaticamente — o acesso é encerrado porque sua conta deixa de constar na lista de pessoas autorizadas. Se você quiser a eliminação também desse cadastro, peça pelo canal do item 1. Os dados que o Clerk mantém do lado dele (por exemplo, registros de sessão e de dispositivos de login) são regidos pela política do próprio Clerk — Clerk, Inc., dos Estados Unidos, que hospeda os dados em datacenters do Google Cloud e da Cloudflare. O acordo de tratamento de dados do fornecedor prevê a eliminação dos dados em até 90 dias após o encerramento do serviço.

10. Segurança

• Tráfego criptografado: toda a comunicação entre o aplicativo, a nossa API e os serviços de notificação usa HTTPS/TLS.
• Sessão protegida no aparelho: o token de sessão fica no armazenamento seguro do sistema operacional, não em arquivo comum.
• Acesso por convite e lista de autorizados: toda requisição do aplicativo exige um token válido e a verificação de que sua conta está ativa, que a organização está ativa e que o produto está contratado.
• Isolamento entre clientes: o aplicativo nunca informa ao servidor de qual cliente quer ver o conteúdo — o vínculo é lido do banco de dados a partir da sua conta. Pedidos de conteúdo de outro cliente retornam “não encontrado”.
• Controle por módulo: cada módulo só responde se estiver habilitado para a sua organização.
• Limite de requisições por usuário, para conter uso abusivo.
• Auditoria de acesso conforme o item 3.3, com redação automática de campos sensíveis (senhas, chaves e tokens nunca são gravados em registro).

Nenhum sistema é imune a incidentes. Em caso de incidente de segurança com risco relevante aos titulares, a CTYP comunicará a ANPD e os titulares afetados, na forma do art. 48 da LGPD.

11. Seus direitos como titular

A LGPD (art. 18) garante a você o direito de:

• confirmar se tratamos dados seus e acessar esses dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• solicitar a portabilidade a outro fornecedor;
• pedir a eliminação dos dados tratados com base em consentimento;
• obter informação sobre o compartilhamento dos seus dados;
• ser informado sobre a possibilidade de não consentir e as consequências disso;
• revogar o consentimento — no caso das notificações e do calendário, basta revogar a permissão nas configurações do aparelho (item 7);
• opor-se a tratamento fundado em legítimo interesse.

Além disso, o art. 20 da LGPD garante o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado e de receber informação clara sobre os critérios usados. No Órbita Leg isso alcança a classificação automática de tema, etiquetas e orientação das publicações do módulo Redes, descrita no item 8.

Como exercer: escreva para contato@orbitaleg.com.br, informando seu nome, o e-mail cadastrado no aplicativo e o pedido. Responderemos no menor prazo possível e, em regra, em até 15 dias, na forma do art. 19 da LGPD.

Como o acesso ao Órbita Leg decorre do seu vínculo com uma organização contratante, pedidos de exclusão da conta podem exigir a comunicação a essa organização, que é quem define quem tem acesso. Pedidos de acesso, correção e informação são atendidos diretamente por nós.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

12. Menores de idade

O Órbita Leg é uma ferramenta de trabalho, destinada exclusivamente a maiores de 18 anos vinculados às organizações contratantes. O aplicativo não se destina a crianças e adolescentes e não coleta conscientemente dados de menores de idade. Como não há autocadastro, todo acesso é criado por convite da equipe da CTYP a partir de indicação da organização contratante.

13. Alterações e histórico de versões

Esta política pode ser atualizada sempre que o aplicativo mudar ou quando houver exigência legal. A versão vigente estará sempre publicada em https://orbitaleg.com.br/privacidade, com a data de vigência no topo. Mudanças relevantes serão comunicadas por e-mail e/ou por aviso no aplicativo antes de entrarem em vigor.