1. Identificação e escopo
O UTILIS é uma solução tecnológica da Notuz Sistema e Soluções Ltda, nome fantasia NOTUZ, inscrita no CNPJ sob nº 26.958.242/0001-86.
Esta Política se aplica aos dados pessoais tratados no domínio utilis.com.br, na plataforma UTILIS, na página de doações, em formulários, demonstrações, suporte, cobrança e demais canais oficiais. Ela alcança representantes e usuários das organizações clientes, visitantes, potenciais clientes e, conforme as funcionalidades utilizadas por cada organização, doadores, pagadores, associados, voluntários, atendidos, beneficiários, fornecedores e outros contatos cadastrados.
Os pagamentos e serviços financeiros integrados à página de doações são prestados pelo ASAAS Gestão Financeira Instituição de Pagamento S.A., CNPJ nº 19.540.550/0001-21 (“Asaas”), instituição de pagamento autorizada a funcionar pelo Banco Central do Brasil. O Asaas possui termos e práticas de privacidade próprios, indicados nesta Política.
2. Papéis no tratamento de dados
2.1. Dados administrados pela organização cliente
A organização cliente decide quais dados serão cadastrados no UTILIS, para quais objetivos serão utilizados, quem poderá acessá-los e por quanto tempo serão mantidos. Nessas operações, a organização cliente atua, em regra, como controladora, e a NOTUZ atua como operadora, tratando os dados em nome da cliente e conforme suas instruções documentadas e a legislação.
Solicitações de doadores, beneficiários ou outros titulares relacionadas a esses cadastros devem ser dirigidas inicialmente à organização com a qual mantêm relacionamento. Quando recebermos uma solicitação desse tipo, poderemos encaminhá-la à controladora competente e prestar a assistência tecnicamente possível.
2.2. Dados tratados diretamente pela NOTUZ
A NOTUZ atua como controladora quando define as finalidades do tratamento, por exemplo, para administrar contas e contratos, faturar, prestar suporte, proteger o ambiente, prevenir fraudes, cumprir obrigações legais e comunicar informações sobre o próprio UTILIS.
2.3. Dados tratados pelo Asaas
O Asaas atua como controlador independente quanto às decisões necessárias à prestação dos serviços financeiros e de pagamentos, incluindo abertura e manutenção de contas ou subcontas, validação de identidade, processamento e liquidação de transações, KYC (“Conheça seu Cliente”), prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT), análise de fraude, bloqueios, estornos, chargebacks e cumprimento de obrigações perante o Banco Central, o COAF e outras autoridades.
A OSC, a NOTUZ e o Asaas não se tornam automaticamente controladores conjuntos de todos os dados. Cada entidade responde pelos tratamentos cujas finalidades e meios essenciais determinar. Papéis diferentes ou complementares poderão ser especificados no contrato de BaaS, no acordo de processamento de dados ou em aviso apresentado no fluxo financeiro.
Em uma funcionalidade específica, as responsabilidades podem ser detalhadas no contrato, em aditivo de tratamento de dados ou em aviso apresentado no momento da coleta.
3. Quais dados pessoais podem ser tratados
| Categoria | Exemplos |
|---|
| Cadastro e identificação | Nome, CPF, data de nascimento, função, organização, login e identificadores internos. |
| Contato | E-mail, telefone e endereço. |
| Relacionamento com a OSC | Histórico de contatos, doações, campanhas, atendimentos, associação, voluntariado, preferências e observações inseridas pela organização cliente. |
| Financeiros e transacionais | Valores, datas, forma e situação de pagamentos ou doações, identificadores da cobrança, recibos, conciliações, estornos, contestações e chargebacks. Dados de cartão, quando informados, são encaminhados ao Asaas e aos participantes do arranjo para processamento; a NOTUZ limita seu tratamento ao estritamente necessário à integração e não os utiliza para finalidade própria incompatível. |
| Dados de pagadores e doadores enviados ao Asaas | Nome, CPF ou CNPJ, e-mail, telefone ou WhatsApp, endereço e informações necessárias à criação e ao processamento da cobrança, conforme o meio de pagamento utilizado. |
| Validação da OSC e de seus representantes | O Asaas poderá solicitar diretamente dados societários, documentos de identificação, selfie, biometria, dados bancários, informações de sócios e representantes, dados de pessoa politicamente exposta e outros elementos necessários à abertura ou manutenção de conta/subconta e ao cumprimento regulatório. |
| Conta e contrato | Dados de representantes, administradores, usuários autorizados, plano contratado, faturamento, cobranças e comunicações de suporte. |
| Técnicos e de segurança | Endereço IP, data e hora de acesso, navegador, dispositivo, páginas e recursos utilizados, eventos de autenticação e logs de auditoria. |
| Conteúdo enviado | Arquivos, mensagens, campos personalizados e demais informações inseridas por usuários autorizados. |
A lista é exemplificativa: cada organização configura seu uso da plataforma. A organização cliente deve limitar a coleta ao necessário para finalidades legítimas e informar seus próprios titulares.
4. Como os dados são obtidos
Os dados podem ser fornecidos: (a) diretamente pelo titular, inclusive ao preencher a página de doações ou um ambiente do Asaas; (b) pela organização cliente ou por seus usuários autorizados; (c) por importação ou integração solicitada pela cliente; (d) pelo Asaas e demais fornecedores necessários à prestação do serviço; e (e) automaticamente durante o acesso, por logs, cookies e tecnologias semelhantes.
Quem insere dados de terceiros declara possuir fundamento jurídico adequado, observar os deveres de transparência e ter autorização para usar a plataforma com essa finalidade.
5. Finalidades e bases legais
A base legal depende do contexto e não se limita ao consentimento. Quando a NOTUZ for controladora, poderá realizar os seguintes tratamentos:
| Finalidade | Dados usuais | Possíveis bases legais |
|---|
| Criar contas, autenticar usuários e fornecer a plataforma | Cadastro, contato, conta e logs | Execução de contrato ou procedimentos preliminares |
| Administrar contrato, cobrança e suporte | Contato, contrato, faturamento e comunicações | Execução de contrato; cumprimento de obrigação legal ou regulatória |
| Manter segurança, auditoria e prevenir abusos ou fraudes | Logs, IP, autenticação e eventos de uso | Legítimo interesse; exercício regular de direitos; obrigação legal, conforme o caso |
| Responder solicitações e exercer ou defender direitos | Identificação, contato e evidências | Cumprimento de obrigação legal; exercício regular de direitos; legítimo interesse |
| Melhorar o serviço e produzir métricas | Dados de uso, preferencialmente agregados ou anonimizados | Legítimo interesse, após avaliação e com respeito às expectativas e direitos do titular |
| Enviar avisos transacionais, de segurança e de funcionamento | Nome, e-mail, telefone e conta | Execução de contrato; legítimo interesse; obrigação legal |
| Criar cobranças e processar doações por meio do Asaas | Identificação e contato do pagador, dados da cobrança e da transação | Execução de contrato ou procedimentos preliminares; cumprimento de obrigação legal ou regulatória; legítimo interesse; exercício regular de direitos, conforme o contexto |
| Validar OSCs, contas, subcontas e representantes | Dados cadastrais, societários, bancários e documentos solicitados pelo Asaas | Execução de contrato ou procedimentos preliminares; cumprimento de obrigação legal ou regulatória; legítimo interesse; proteção do crédito e, para dados sensiveis, prevenção à fraude e segurança do titular, quando aplicável |
| Enviar novidades comerciais da NOTUZ | Nome, cargo e contato profissional | Consentimento ou legítimo interesse, conforme o caso, sempre com opção facilitada de cancelamento |
Quando atuar como operadora, a NOTUZ tratará os dados segundo as finalidades e bases legais definidas pela organização controladora. Dados efetivamente anonimizados poderão ser usados para estatísticas, segurança e melhoria do serviço, sem tentativa de reidentificação.
6. Dados pessoais sensiveis e de crianças e adolescentes
O UTILIS pode permitir que uma organização cliente cadastre informações relacionadas às suas atividades. Caso isso envolva dados sensiveis ou dados de crianças e adolescentes, a organização controladora deve avaliar a real necessidade, adotar a base legal adequada e observar salvaguardas reforçadas, inclusive o melhor interesse de crianças e adolescentes.
A NOTUZ não solicita esses dados para o cadastro comum de usuários da plataforma. Ao atuar como operadora, tratará tais informações apenas conforme instruções lícitas da controladora, o contrato e as medidas de segurança aplicáveis.
7. Com quem os dados podem ser compartilhados
Não vendemos dados pessoais. O acesso ou compartilhamento pode ocorrer, no limite necessário, com:
- a organização cliente e seus usuários autorizados;
- provedores de infraestrutura, hospedagem, banco de dados, backup, suporte, autenticação, e-mail, monitoramento e segurança;
- o Asaas, para cadastro, abertura e manutenção de contas ou subcontas, criação e processamento de cobranças, Pix, boleto, cartão, transferências, liquidação, KYC, PLD/FT, prevenção a fraudes, estornos, chargebacks, suporte e cumprimento regulatório;
- bandeiras de cartão, instituições bancárias, participantes do Pix, adquirentes, subadquirentes, serviços antifraude e outros integrantes necessários ao processamento da transação;
- integrações e fornecedores escolhidos ou autorizados pela organização cliente;
- contadores, auditores, consultores e assessores profissionais sujeitos a deveres de confidencialidade;
- autoridades públicas, mediante obrigação legal, regulatória ou ordem válida;
- envolvidos em reorganização societária, investimento, aquisição ou transferência de ativos, com salvaguardas apropriadas.
O tratamento realizado pelo Asaas também está sujeito à sua Política de Privacidade, aos seus Termos e Condições de Uso e às normas do Sistema Financeiro Nacional.
A relação atualizada de fornecedores relevantes poderá ser solicitada pelo canal de privacidade. A organização cliente é responsável pelas integrações que habilitar e pelas instruções que fornecer.
8. Transferência internacional
Alguns fornecedores de tecnologia, inclusive fornecedores utilizados pelo Asaas, podem armazenar ou acessar dados fora do Brasil. Quando houver transferência internacional de dados pessoais sob responsabilidade da NOTUZ, será adotado mecanismo permitido pela LGPD e pela regulamentação da ANPD, bem como medidas contratuais e de segurança compatíveis com o risco e com nosso papel na operação. Transferências decididas pelo Asaas seguem sua própria Política de Privacidade e suas salvaguardas.
9. Retenção, exportação e eliminação
Quando controladora, a NOTUZ mantém dados pelo período necessário para cumprir as finalidades informadas, o contrato e obrigações legais ou regulatórias, inclusive para exercício regular de direitos. Logs de acesso a aplicações serão mantidos pelo prazo legal aplicável.
O Asaas poderá conservar dados cadastrais, financeiros e transacionais pelos prazos necessários ao cumprimento de obrigações legais e regulatórias do setor financeiro, prevenção a fraudes, auditoria e exercício regular de direitos, inclusive após o encerramento da conta ou a conclusão da doação. Pedidos de eliminação não afastam essas hipóteses legais de retenção.
Quando operadora, a retenção dos dados cadastrados pela organização cliente seguirá o contrato e as instruções da controladora. Após o encerramento, a cliente poderá solicitar exportação dentro do prazo e formato contratados. Decorrido o período acordado, os dados serão eliminados ou anonimizados, ressalvadas cópias de segurança em ciclo de sobrescrita e hipóteses de conservação autorizadas por lei.
A eliminação imediata nem sempre será possível quando houver obrigação de retenção, necessidade de preservação de evidências ou limitação técnica legítima de backups. Nessas situações, os dados ficarão protegidos e isolados de usos incompatíveis até a exclusão.
10. Segurança e incidentes
A NOTUZ adota medidas técnicas e administrativas proporcionais à natureza dos dados e aos riscos, incluindo controles de acesso, segregação lógica entre clientes, registros de atividade, gestão de vulnerabilidades, cópias de segurança e compromissos de confidencialidade, conforme aplicável. Nenhum ambiente é absolutamente invulnerável; por isso, também mantemos procedimentos de resposta e mitigação.
Usuários devem preservar suas credenciais, utilizar senhas fortes, limitar permissões e comunicar imediatamente suspeitas de acesso indevido. Em incidente envolvendo dados sob controle da organização cliente, a NOTUZ notificará a controladora sem demora indevida e fornecerá informações razoavelmente disponíveis para apoiar suas obrigações. Quando a NOTUZ for controladora, avaliará e realizará as comunicações exigidas pela LGPD e pela regulamentação da ANPD. Incidentes restritos ao ambiente e às operações do Asaas serão avaliados e comunicados pelo Asaas conforme seu papel legal, sem prejuízo da cooperação entre as empresas.
11. Direitos dos titulares
Nos termos da LGPD, o titular pode solicitar, conforme aplicável: confirmação e acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou irregulares; portabilidade, observada a regulamentação; eliminação de dados tratados com consentimento, ressalvadas as hipóteses legais; informação sobre compartilhamentos; informação sobre a possibilidade de negar consentimento e suas consequências; revogação do consentimento; oposição a tratamento irregular; e revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
Para dados inseridos por uma organização cliente, procure primeiramente essa organização, que é a controladora competente para decidir sobre o pedido. Para tratamentos controlados pela NOTUZ, envie a solicitação a privacidade@notuz.com.br. Poderemos pedir informações para confirmar a identidade e prevenir fraude. O atendimento será gratuito e observará os prazos legais.
Para tratamentos controlados pelo Asaas, especialmente cadastro financeiro, validação de identidade, transações, bloqueios e obrigações regulatórias, o titular poderá usar o Canal de Proteção de Dados do Asaas ou o e-mail protecaodedados@asaas.com.br. Quando recebermos pedido que dependa do Asaas, poderemos encaminhá-lo ou orientar o titular ao canal competente.
O titular também pode peticionar perante a Autoridade Nacional de Proteção de Dados, observados os procedimentos aplicáveis.
12. Cookies e registros de acesso
O site e a plataforma podem usar cookies estritamente necessários para autenticação, segurança, preferências e funcionamento. Cookies de métricas ou publicidade, se adotados, serão descritos em aviso ou Política de Cookies, com controles adequados quando exigidos. Bloquear cookies essenciais pode impedir o funcionamento de partes do serviço.
Também podem ser gerados registros de acesso e auditoria para segurança, suporte, prevenção de fraude, cumprimento legal e responsabilização. Esses registros não devem ser usados pela organização cliente para monitoramento ilegal ou discriminatório.
13. Decisões automatizadas
A NOTUZ não adota, por padrão, decisões exclusivamente automatizadas que produzam efeitos jurídicos ou afetem significativamente titulares. O Asaas poderá realizar análises automatizadas de identidade, risco, fraude, crédito ou transações conforme sua Política de Privacidade e obrigações regulatórias. Pedidos de informação ou revisão relacionados a essas decisões devem ser encaminhados ao canal de proteção de dados do Asaas.
14. Alterações e canais de contato
Esta Política pode ser atualizada para refletir mudanças legais, técnicas ou nos serviços. A versão vigente e sua data estarão disponíveis nesta página. Alterações relevantes serão comunicadas por meio razoável, especialmente quando exigirem nova informação ou manifestação do titular.
Controladora: Notuz Sistema e Soluções Ltda · CNPJ 26.958.242/0001-86
Canal de privacidade e do encarregado, quando aplicável: privacidade@notuz.com.br
Suporte: suporte@notuz.com.br
Referências normativas: Lei nº 13.709/2018 (LGPD), Lei nº 12.965/2014 (Marco Civil da Internet), Decreto nº 8.771/2016 e regulamentação vigente da ANPD.