1.Quem somos e a quem esta política se aplica
Esta política explica como o LicitaMax trata dados pessoais no site público (páginas de licitações, órgãos, guias e demais conteúdos) e no aplicativo usado por quem cria uma conta.
O controlador dos dados é [a definir], inscrita no CNPJ [a definir], com endereço em [a definir]. O encarregado pelo tratamento de dados pessoais é [a definir], que pode ser contatado pelo e-mail [a definir].
O LicitaMax é uma ferramenta privada. Não é órgão público nem plataforma oficial de compras e não participa de licitações em nome de ninguém.
2.Dados que você nos informa
Cadastro: nome, e-mail, senha, idioma e fuso horário. A senha é guardada apenas como hash (scrypt), nunca em texto legível.
Empresa: no início do uso e no perfil da empresa, razão social, nome fantasia, país, CNPJ ou outro identificador fiscal, porte, descrição do que a empresa oferece, categorias, regiões de atuação, palavras-chave e faixa de valor de interesse. Se você quiser, também endereços, contatos, representantes, marcas, prazos e garantias padrão, catálogo de produtos e preços e dados bancários.
Documentos do cofre: os arquivos que você envia e as informações sobre eles, como tipo, emissor, número, datas de emissão e de validade.
Uso do produto: radares, oportunidades salvas, negócios, tarefas e notas do CRM, propostas e declarações, perguntas feitas no chat sobre editais, preferências de notificação e convites para membros da equipe.
WhatsApp: o número de telefone, somente se você ativar esse canal de alertas, junto com a data em que deu o consentimento. Você pode desativar e apagar o número quando quiser.
3.Dados gerados pelo uso
Registramos ações relevantes para segurança e prestação de contas, como login, alterações de dados e exclusões. Nesses registros o endereço IP não é guardado: guardamos apenas um pseudônimo calculado a partir dele com uma chave secreta do servidor.
Também registramos eventos de uso do produto, como a conclusão do cadastro ou o pedido de uma análise, ligados ao identificador interno da conta e sem conteúdo pessoal. Nos registros de envio de notificações, o destinatário aparece como hash, não como e-mail ou telefone legível.
Não usamos cookies de publicidade nem scripts de rastreamento de terceiros.
4.Cookies
lm_session: mantém você conectado ao aplicativo. É um cookie httpOnly, inacessível a scripts da página, e vale por até 30 dias ou até você sair da conta.
lm_locale: guarda o idioma que você escolheu para o aplicativo, por até 1 ano.
lm_country: guarda o país que você escolheu no seletor de país do site, para levar você à versão certa nas próximas visitas.
Esses cookies são necessários ao funcionamento do site e do aplicativo. Se você bloqueá-los no navegador, o login e as preferências deixam de funcionar.
5.Dados públicos de licitações
O conteúdo das licitações vem de fontes oficiais: do Portal Nacional de Contratações Públicas (PNCP) vêm órgãos, editais e anexos, itens, resultados, atas, contratos e fornecedores; dos dados abertos do Compras.gov.br, o catálogo de materiais e serviços e os preços praticados. Esses registros identificam sobretudo pessoas jurídicas, mas podem conter nomes de pessoas físicas publicados pelo próprio poder público, como empresários individuais ou signatários.
Tratamos esses dados para dar acesso organizado a informações de interesse público, considerando a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização (LGPD, art. 7º, § 3º). Cada página indica a fonte e o link oficial. Correções no conteúdo de origem devem ser pedidas também ao órgão que o publicou.
6.Para que usamos os dados
Para prestar o serviço contratado: manter sua conta e a da sua organização, buscar e comparar licitações com o perfil da empresa, enviar os alertas que você configurou, analisar editais quando você pede, organizar documentos e avisar sobre validades, preparar propostas e acompanhar negócios no CRM.
Para cobrança e controle dos limites do plano; para segurança, como prevenção de abuso, limitação de tentativas de acesso e auditoria; e para comunicações ligadas à conta, como verificação de e-mail, redefinição de senha e convites.
Para melhorar o produto, usamos os eventos de uso descritos acima, sem conteúdo pessoal. Não vendemos dados pessoais.
7.Inteligência artificial
Quando a análise por IA está ativada no serviço, o texto necessário para cada tarefa é enviado ao provedor de IA contratado — hoje, a API da OpenAI — para gerar a resposta: trechos de editais e anexos públicos, a descrição da empresa usada para sugerir categorias e palavras-chave, o texto de documentos enviados ao cofre para sugerir tipo e validade, e as perguntas feitas no chat com os trechos do edital usados como contexto. Quando a busca por semelhança usa o mesmo provedor, textos do perfil da empresa e das licitações também são enviados para gerar representações numéricas (embeddings).
Quando a IA externa não está ativada, essas tarefas são feitas por regras e heurísticas no próprio servidor do LicitaMax, sem envio a terceiros.
Cada execução é registrada com o provedor, o modelo, a versão das instruções, referências às entradas (identificadores, não o texto) e o resultado. O LicitaMax não treina modelos próprios com os seus dados. Os resultados são sugestões para revisão humana, não decisões nem parecer jurídico.
8.Com quem compartilhamos
Com fornecedores que operam partes do serviço em nosso nome: hospedagem, banco de dados e armazenamento de arquivos; envio de e-mail transacional (servidor SMTP ou Resend); envio de alertas por WhatsApp pela API oficial do WhatsApp Business, da Meta, apenas para quem ativou esse canal; análise por IA (OpenAI), quando ativada; e pagamentos (Stripe). O número do cartão é informado diretamente à Stripe e não passa pelos nossos servidores.
Alguns desses fornecedores podem tratar dados fora do Brasil. A relação atualizada dos fornecedores em uso pode ser pedida pelo canal de privacidade.
Dentro da sua organização, os membros da equipe veem os dados da organização de acordo com o papel de cada um. Também podemos compartilhar dados quando a lei ou uma ordem de autoridade competente exigir.
9.Segurança
Dados sensíveis — dados bancários, números de documentos do cofre, telefone de WhatsApp e identificadores fiscais — são cifrados no banco com AES-256-GCM, e o CNPJ usado em buscas é guardado como hash. Os arquivos do cofre ficam em armazenamento privado da organização e só são baixados por links assinados que expiram.
Quando um antivírus está configurado no ambiente, os arquivos são verificados antes de serem guardados; quando não está, o arquivo aparece como não verificado, sem fingir o contrário. Você pode encerrar todas as sessões abertas a qualquer momento, e a troca de senha derruba as sessões anteriores.
Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, comunicaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), conforme a legislação.
10.Por quanto tempo guardamos
Os dados da conta e da organização ficam guardados enquanto a conta existir.
A exclusão de um documento do cofre é lógica: ele sai das listas e das checagens, mas o arquivo e o registro continuam armazenados para permitir recuperação de exclusões por engano e auditoria, até a eliminação definitiva, que pode ser pedida pelo canal de privacidade.
Quando a conta é encerrada, eliminamos ou anonimizamos os dados pessoais, salvo o que precisarmos manter para cumprir obrigação legal ou regulatória, para o exercício regular de direitos ou em outra hipótese permitida pela LGPD (art. 16). Prazo de guarda após o encerramento: [a definir].
11.Seus direitos e como exercê-los
A LGPD garante a você, entre outros direitos (art. 18): confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com consentimento; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento. Você também pode peticionar à ANPD.
Pela própria conta, você pode: corrigir nome, idioma e fuso horário; trocar a senha e sair de todos os dispositivos; editar o perfil da empresa; ativar ou desativar o WhatsApp e apagar o telefone; ajustar as preferências de alertas; e excluir documentos do cofre. Administradores da organização podem remover membros e revogar convites.
Para os demais pedidos — confirmação de tratamento, cópia dos dados, portabilidade, eliminação da conta ou informação sobre compartilhamento —, escreva para [a definir] a partir do e-mail cadastrado, para podermos confirmar sua identidade.
12.Menores de idade
O LicitaMax é destinado a empresas e a seus representantes e não é dirigido a menores de 18 anos.
13.Alterações desta política
Quando esta política mudar, a data de atualização no topo da página será alterada. Mudanças relevantes serão avisadas no aplicativo ou pelo e-mail cadastrado.