Como a SubTicket coleta, usa, compartilha e protege dados pessoais, em conformidade com a LGPD.
1. Quem somos e o que esta política cobre
Esta Política de Privacidade descreve como ORBNEIL DEVELOPMENT LTDA, inscrita no CNPJ sob o nº 57.172.311/0001-55, com sede em Virtual, Balsas, MA, 65800-000, Brasil (“Controladora”), trata dados pessoais no uso da plataforma SubTicket.
Aplicam-se a Lei nº 13.709/2018 (LGPD), o Marco Civil da Internet e, quando cabível, o Código de Defesa do Consumidor. Ao utilizar a Plataforma, você declara ter lido esta Política. O tratamento baseado em consentimento somente ocorre após aceite registrado.
Encarregado pelo tratamento de dados pessoais (DPO): [email protected]. Contato geral: [email protected]. Telefone: +55 (99) 8423-7306.
Versão 2.5, atualizada em 1 de outubro de 2026.
2. Definições
Para esta Política:
- Dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
- Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico, quando tratado;
- Titular: você, a pessoa a quem os dados se referem;
- Controladora: quem toma as decisões sobre o tratamento (nós, em relação à Plataforma);
- Operadora: quem trata dados em nosso nome (por exemplo, hospedagem) ou, no caso de pagamentos, a instituição de pagamento que trata dados na qualidade de controladora autônoma para cumprir deveres regulatórios;
- Tratamento: toda operação com dados (coleta, armazenamento, uso, compartilhamento, exclusão etc.).
3. Quais dados coletamos
Coletamos apenas o necessário para operar a Plataforma. As categorias abaixo dependem de como você usa o serviço:
- Conta: nome, sobrenome, e-mail, e-mail de recuperação (se informado), senha armazenada de forma irreversível (hash), tipo e número de documento (CPF ou CNPJ) e telefone;
- Dados demográficos da conta (comprador): data de nascimento, de preenchimento opcional, e sexo (masculino, feminino, outro ou a opção de não informar). Esses campos não são necessários para criar a conta, comprar ingresso ou entrar no evento; servem apenas para relatórios demográficos dos eventos dos quais você participar. Não coletamos orientação sexual, dados de saúde nem demais dados sensíveis do art. 5º, II, da LGPD;
- Verificação de e-mail: token de verificação, datas de envio e de criação do token;
- Sessão: token de acesso e token de atualização (refresh) no seu dispositivo, e registro do refresh no servidor (identificador, datas de criação e expiração, e se foi revogado);
- Uso como comprador: pedidos de ingresso (quantidade, preço, status, evento, tipo de ingresso, datas de reserva e expiração), favoritos, respostas a formulários do evento, código de acesso do ingresso e histórico de uso (check-in);
- Uso como produtor: nome do negócio, descrição, e-mail, CPF/CNPJ, data de nascimento, telefones, endereço completo, tipo de empresa (MEI, LTDA e equivalentes), renda ou faturamento mensal declarado, imagens, conta bancária (banco, agência, conta, dígito e chave Pix), quem absorve a tarifa Pix, identificadores da subconta Asaas e chave de API da subconta (quando emitida, armazenada de forma protegida);
- Eventos: título, descrição, datas e horários, tipo, categoria, redes sociais, endereço do evento (incluindo latitude e longitude quando informadas no mapa), artistas, imagens, lotes de ingressos, equipe (organizador, equipe e verificador) e convites por e-mail;
- Formulários de evento: campos definidos pelo produtor e as respostas que você enviar (texto, e-mail, número, data, seleção e equivalentes);
- Pagamentos: identificadores da cobrança no Asaas, status, valores, split, comprovantes quando fornecidos, webhooks da instituição de pagamento e, para a Taxa de ativação de produtor, dados do pré-cadastro e da cobrança;
- Validação de ingresso: resultado da leitura, data e hora, evento, usuário verificador e endereço IP;
- Imagens: arquivos de eventos, produtores e artistas, armazenados com nome hashed em provedor de objetos na nuvem ou, em desenvolvimento, em armazenamento local;
- Dados técnicos e de consentimento: endereço IP, identificador do navegador (user agent), idioma aceito, data e hora, versão e hash dos documentos legais aceitos, caminho na aplicação no momento do aceite, confirmação da caixa de ciência e, quando aplicável, texto da versão aceita;
- Aplicativo (PWA): preferência de instalação no dispositivo e funcionamento offline básico do service worker.
4. Para que usamos os dados (finalidades e bases legais)
Tratamos dados pessoais para as finalidades abaixo, com as bases legais da LGPD (art. 7º e, se houver dado sensível, art. 11):
- Execução de contrato e procedimentos preliminares: criar e autenticar sua conta, exibir eventos, processar pedidos e ingressos, enviar confirmações, operar o modo produtor e validar acessos;
- Consentimento: aceite dos Termos e desta Política; preenchimento de formulários complementares do evento quando não forem estritamente necessários à compra; fornecimento de data de nascimento e de sexo para fins demográficos, inclusive pela opção de não informar o sexo;
- Relatórios demográficos (legítimo interesse, art. 7º, IX, e, quando você preenche os campos, também consentimento): gerar estatísticas de público dos eventos (faixa etária, idade média e distribuição por sexo) e, nos relatórios de participantes do próprio evento, exibir idade e sexo associados ao comprador. Não usamos esses dados para marketing, scoring, decisão automatizada que produza efeito jurídico nem para discriminar o acesso ao evento;
- Cumprimento de obrigação legal ou regulatória: guarda de registros de transações financeiras, atendimento a autoridades e prazos fiscais e consumeristas;
- Exercício regular de direitos: defesa em processos, prevenção a fraudes, chargebacks e abuso da Plataforma;
- Legítimo interesse, quando não prevalecerem direitos do titular: segurança da aplicação, prevenção a fraudes, melhoria operacional, suporte e envio de e-mails transacionais (verificação de conta, convites de equipe e comunicações do pedido);
- Pagamentos: execução de contrato e deveres da instituição de pagamento. O Asaas trata dados de pagamento, identificação e KYC segundo a própria política e a regulamentação do setor financeiro/pagamentos. A data de nascimento do produtor pessoa física, quando exigida, destina-se à verificação de identidade no Asaas, e não a relatório demográfico de compradores.
5. Pagamentos: Asaas (instituição de pagamento)
Os pagamentos da Plataforma são processados por Asaas Gestão Financeira Instituição de Pagamento S.A. (“Asaas”). O Asaas é o intermediador das transações e a instituição responsável pela guarda dos recursos. Não somos instituição de pagamento.
O Asaas possui Política de Privacidade e Termos de Uso próprios, aos quais você também está sujeito ao pagar, habilitar-se como produtor ou abrir uma subconta de recebimento. Confirmamos que essas políticas existem e estão publicadas pelo Asaas. Elas não substituem esta Política: nós informamos o compartilhamento, e o Asaas informa o tratamento que realiza como instituição de pagamento.
Política de Privacidade do Asaas: https://central.ajuda.asaas.com/hc/pt-br/articles/32098003163035-Pol%C3%ADtica-de-Privacidade. Termos e Condições de Uso do Asaas: https://central.ajuda.asaas.com/hc/pt-br/articles/32096847160859-Termos-e-Condi%C3%A7%C3%B5es-de-Uso. Site: https://www.asaas.com.
Compartilhamos com o Asaas, conforme o fluxo: nome, e-mail, CPF/CNPJ, telefone e identificadores da cobrança; para produtores, também endereço, renda ou faturamento mensal declarado, tipo de empresa, data de nascimento, dados bancários/Pix e documentos de verificação de identidade exigidos no onboarding do Asaas.
O produtor que habilita recebimentos declara ter ciência de que o Asaas é o parceiro intermediador, de que a subconta se sujeita aos termos do Asaas, e de que é responsável pela veracidade dos dados e documentos apresentados.
Não armazenamos o PAN (número do cartão) nem o CVV. Ingressos pagos podem ser quitados via Pix ou cartão de crédito. No cartão, os dados seguem ao Asaas para tokenização; guardamos apenas o token, a bandeira e os quatro últimos dígitos, para cobranças futuras e para a troca do cartão na conta.
6. Com quem compartilhamos
Além do Asaas, podemos compartilhar dados com:
- Produtor do evento em que você se inscreve ou compra ingresso: identificação, e-mail, telefone, documento quando necessário à cobrança, quantidade e tipo de ingresso, status do pedido, check-in, respostas do formulário do evento e, para relatórios daquele evento, idade derivada da data de nascimento (quando informada) e sexo (quando informado). O produtor passa a tratar esses dados na qualidade de controlador autônomo da relação com o participante e não deve utilizá-los para finalidade incompatível, inclusive discriminação;
- Membros da equipe do evento (organizador, equipe e verificador) autorizados pelo produtor, na medida necessária à gestão e à validação de acessos;
- OpenStreetMap Nominatim: coordenadas para obter endereço quando o produtor marca o local no mapa;
- Provedor de armazenamento de arquivos (Cloudflare R2 / infraestrutura compatível com S3): imagens enviadas;
- Provedor de e-mail transacional (envio via SMTP) para verificação de conta, convites de equipe e comunicações operacionais;
- Autoridades públicas, quando houver obrigação legal, ordem judicial ou requisição válida;
- Prestadores de hospedagem, cache, filas ou suporte técnico, quando contratados, na qualidade de operadores, com dever de confidencialidade.
7. Transferências internacionais
Alguns prestadores (por exemplo infraestrutura de nuvem Cloudflare e, conforme o caso, o Asaas) podem tratar dados fora do Brasil. Nessas hipóteses, adotamos as salvaguardas da LGPD (art. 33 e seguintes), tais como cláusulas contratuais, normas corporativas ou transferência a países com grau de proteção adequado, conforme o caso.
8. Cookies, sessão e armazenamento no dispositivo
Utilizamos tecnologias estritamente necessárias ao funcionamento:
- Sessão de login: token de acesso e token de atualização gravados no armazenamento local do navegador para manter você autenticado; o refresh correspondente fica registrado no servidor para permitir renovação e revogação;
- Cookies de segurança da API (CSRF), quando aplicáveis à comunicação com o servidor;
- PWA / service worker: funcionamento offline básico e atalho de instalação, se você optar por instalar o aplicativo;
- Preferência de dispensa do aviso de instalação no dispositivo.
8.1. Tecnologias que não usamos como padrão
Não utilizamos, como padrão deste serviço, cookies de marketing de terceiros nem ferramentas de análise de audiência de terceiros. Você pode limpar o armazenamento local e os cookies nas configurações do próprio navegador; isso encerrará a sessão logada.
9. Por quanto tempo guardamos
Mantemos dados enquanto sua conta estiver ativa e pelo tempo necessário às finalidades informadas. Após exclusão da conta, poderemos reter registros pelo prazo legal aplicável, em especial:
- Dados de transações financeiras e fiscais: prazos do direito brasileiro (em regra, até 5 anos, ou outro prazo legal específico);
- Registros de consentimento (versão, hash, IP, user agent, data e evidências): pelo tempo necessário para demonstrar cumprimento da LGPD;
- Dados para exercício regular de direitos em processos: até o término do prazo prescricional;
- Tokens de sessão: enquanto ativos ou até o logout, a expiração ou a revogação.
10. Segurança
Adotamos medidas técnicas e organizacionais razoáveis: conexão criptografada (HTTPS), controle de acesso, senhas armazenadas com hash, chaves em ambiente de servidor, minimização de dados de pagamento e nomes hashed para arquivos enviados. Nenhum sistema é isento de riscos; se identificarmos incidente que possa causar risco ou dano relevante, comunicaremos a ANPD e os titulares quando a LGPD assim exigir.
11. Seus direitos (LGPD)
Você pode solicitar, na forma da lei:
- Confirmação da existência de tratamento e acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
- Portabilidade a outro fornecedor, observados segredos comercial e industrial;
- Eliminação dos dados tratados com consentimento, salvo hipóteses legais de conservação;
- Informação sobre entidades públicas e privadas com as quais compartilhamos dados;
- Informação sobre a possibilidade de não fornecer consentimento e as consequências;
- Revogação do consentimento;
- Oposição a tratamento irregular;
- Revisão de decisões automatizadas, se vierem a ser utilizadas de forma que afetem seus interesses.
11.1. Como exercer
Para exercer direitos, escreva para [email protected] ou [email protected], identificando-se. Poderemos solicitar informações adicionais para confirmar sua identidade. Responderemos no prazo legal.
A revogação do consentimento dos Termos e desta Política impede o uso continuado da conta autenticada, porque o contrato de uso e o tratamento essencial dependem desse aceite. Você pode encerrar a sessão no próprio dispositivo (logout) e solicitar a exclusão da conta pelos canais de contato.
Data de nascimento e sexo podem ser omitidos ou, no sexo, marcados como “Prefiro não informar”, sem impedir o cadastro essencial nem a compra de ingressos. Você também pode pedir a correção ou a eliminação desses campos depois, pelos canais desta Política. Relatórios já gerados pelo produtor do evento podem conservar cópia enquanto ele os tratar como controlador autônomo.
Também é possível apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
12. Crianças e adolescentes
A Plataforma não é dirigida a crianças. Não coletamos intencionalmente dados de menores de 18 anos sem representante legal. Se tomarmos ciência de cadastro irregular, poderemos encerrar a conta e eliminar os dados, salvo obrigação legal de retenção.
13. Alterações desta Política
Podemos atualizar esta Política para refletir mudanças legais ou do produto. A versão e o hash do texto vigente são registrados no aceite. Alterações relevantes exigirão novo consentimento antes do uso continuado da conta.
