Política de Privacidade

1. Quem somos (controlador)

O LicitAchei (licitachei.iagenes.com.br) é uma plataforma privada de consulta a licitações públicas brasileiras. Atuamos como controlador dos dados pessoais que coletamos diretamente de você, e como operador dos dados públicos que coletamos do PNCP (que tem o governo federal como controlador originário).

2. Quais dados coletamos

2.1 Dados de cadastro

• Obrigatórios: nome completo, e-mail, senha (armazenada com hash)
• Opcionais: nome da empresa, telefone, CPF ou CNPJ (necessário para emissão de cobrança no Asaas)
• Aceite: data e hora exatas em que você marcou "Li e aceito os Termos de Uso e a Política de Privacidade" (LGPD — prova jurídica)

2.2 Dados de uso da plataforma

• Buscas salvas e filtros configurados
• Órgãos públicos que você segue
• Preferências de notificação (UFs e categorias de interesse)
• Histórico de buscas (anonimizado para análise agregada)
• Datas de envio dos e-mails que mandamos (para evitar duplicidade)

2.3 Dados técnicos

• Endereço IP (usado para rate-limit antifraude na criação de contas, retido por até 24h)
• Cookies de autenticação e sessão
• Dados de navegação coletados pelo Google Analytics (de forma anônima)

2.4 Dados de pagamento

Quando você assina um plano pago, dados de cartão, Pix ou boleto são coletados e processados diretamente pela Asaas — não armazenamos nem temos acesso aos dados completos de cartão de crédito. Apenas guardamos identificadores opacos (`asaas_customer_id`, `asaas_subscription_id`) e status da assinatura.

2.5 Dados públicos de licitações

As informações de licitações exibidas (objetos, valores, prazos, órgãos compradores, fornecedores em atas) são dados públicos coletados da API oficial do PNCP. Não são dados pessoais seus, mas podem conter dados de pessoas físicas que participam de procedimentos públicos (servidores, sócios de empresas licitantes). Esses dados já são públicos por força de lei.

3. Para que usamos os dados

• Autenticação e segurança: identificar você no login, proteger contra acesso não autorizado, rate-limit antifraude
• Operação do produto: entregar buscas salvas, alertas por e-mail, painel personalizado, exportação Excel, atas
• Cobrança: processar pagamento via Asaas, emitir notas fiscais quando aplicável, gerenciar ciclo de assinatura
• Comunicação transacional: e-mails sobre seu trial, status do pagamento, ciclo de vida da conta, alertas de licitações
• Comunicação de marketing: apenas se você optar em receber (opt-in via checkbox em /conta)
• Análise agregada: melhorar o produto, identificar problemas, planejar features (sem cruzar com identificação individual quando possível)
• Conformidade legal: atender obrigações fiscais, contábeis e responder a autoridades

Não usamos seus dados para: publicidade comportamental dirigida, perfis de crédito, venda a terceiros, ou qualquer finalidade não declarada nesta política.

4. Bases legais (LGPD Art. 7º)

Tratamos seus dados com base nas seguintes hipóteses:

• Execução de contrato (Art. 7º, V) — para entregar o serviço contratado (cadastro, login, buscas, alertas, cobrança)
• Cumprimento de obrigação legal (Art. 7º, II) — fiscais, contábeis, atendimento a requisições judiciais
• Legítimo interesse (Art. 7º, IX) — segurança da plataforma (rate-limit, detecção de fraude), análises agregadas para melhoria de produto
• Consentimento (Art. 7º, I) — para comunicações de marketing (opt-in explícito), cookies analíticos não essenciais

5. Com quem compartilhamos

Compartilhamos dados apenas com operadores essenciais à prestação do serviço, todos contratualmente vinculados a cláusulas de proteção de dados. São eles:

Não vendemos seus dados. Não compartilhamos com anunciantes, corretoras de dados ou redes de publicidade.

Podemos compartilhar dados em resposta a requisições judiciais ou administrativas legais, quando obrigados por lei, sempre limitados ao mínimo necessário.

6. Por quanto tempo guardamos

Aplicamos os seguintes prazos de retenção (princípio da necessidade — LGPD Art. 6º, III):

Antes de qualquer exclusão automática, enviamos comunicações por e-mail: no dia da suspensão (dia 8 do ciclo), 30 dias antes da exclusão, 7 dias antes e na própria exclusão. Total de 4 avisos.

7. Seus direitos (LGPD Art. 18)

A LGPD garante a você os seguintes direitos:

• Confirmação e acesso — saber se tratamos seus dados e ter cópia. Visualize tudo em /conta.
• Correção — atualizar dados incorretos. Edite em /conta ou peça por e-mail.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade.
• Portabilidade — receber seus dados em formato estruturado (JSON), mediante solicitação por e-mail.
• Eliminação dos dados tratados com consentimento — em 1 clique na página /trial-expirado (botão "Excluir minha conta e meus dados") ou em /conta.
• Informação sobre compartilhamento — esta política cumpre essa transparência (ver seção 5).
• Informação sobre a possibilidade de não fornecer consentimento — você pode usar apenas a busca pública sem cadastro, sem fornecer dados pessoais.
• Revogação do consentimento — opt-out de comunicações de marketing em /conta.

Para exercer direitos que não estão disponíveis em auto-serviço, escreva para contato@licitachei.com.br indicando o direito desejado. Respondemos em até 15 dias (Art. 19, §1º).

8. Cookies e tecnologias similares

Usamos três categorias de cookies:

• Essenciais (não opcionais) — autenticação, sessão, proteção contra CSRF. Sem eles a plataforma não funciona.
• Funcionais — guardam preferências como dispensa de banner (localStorage). Não rastreiam atividade.
• Analíticos — Google Analytics 4, com IP truncado e anonimização ativada. Você pode desativar via banner de consentimento que aparece na primeira visita.

Não usamos cookies de publicidade comportamental. Você pode bloquear cookies no seu navegador, mas isso pode prejudicar a experiência (especialmente login).

9. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados:

• Criptografia em trânsito (HTTPS/TLS em todas as conexões)
• Criptografia em repouso (banco de dados Supabase)
• Senhas armazenadas com hash bcrypt (Supabase Auth)
• Row-Level Security (RLS) no banco — cada usuário só vê os próprios dados
• Rate-limit antifraude em endpoints de cadastro e login
• Logs de auditoria de operações sensíveis (exclusão, cobrança)
• Acesso restrito aos dados de produção apenas para staff autorizado
• Backups automatizados com retenção controlada

Em caso de incidente de segurança que envolva dados pessoais e risco relevante, comunicaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável (LGPD Art. 48).

10. Menores de idade

O LicitAchei é destinado exclusivamente a maiores de 18 anos. Não coletamos conscientemente dados de menores. Se identificarmos um cadastro de menor, removeremos a conta imediatamente.

Se você é responsável legal por um menor e suspeita que ele criou uma conta, entre em contato pelo e-mail abaixo para exclusão imediata.

11. Transferência internacional

Alguns dos nossos operadores (Supabase, Vercel, Resend, Google Analytics) processam dados em servidores localizados nos Estados Unidos. Essa transferência é amparada pela LGPD (Art. 33, IV — execução de contrato a pedido do titular) e os operadores adotam mecanismos contratuais e técnicos para garantir nível de proteção adequado.

12. Alterações desta política

Podemos atualizar esta política periodicamente. Mudanças materiais (que ampliem coleta, mudem finalidades ou afetem direitos) serão comunicadas por e-mail com antecedência mínima de 30 dias.

A data "Em vigor desde" no topo indica a versão atual. Recomendamos revisão periódica.

13. Encarregado (DPO) e contato

Para qualquer assunto relativo a dados pessoais (exercício de direitos, dúvidas, reclamações):

E-mail: contato@licitachei.com.br

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.