Política de privacidade do Certamus

1. Quem é quem

O órgão público que usa o Certamus decide sobre os dados dos seus servidores e dos seus processos. O Certamus trata esses dados em nome do órgão para fornecer o sistema. [CONFIRMAR: papéis na LGPD (controlador e operador), contrato de tratamento de dados com cada órgão e dados da empresa responsável]

2. Quais dados são tratados

• Conta: nome, e-mail, papel no órgão (por exemplo gestor, secretário, jurídico) e secretaria. A senha fica sob proteção do serviço de login, e o Certamus não a vê.
• Uso do sistema: a trilha de auditoria registra quem fez qual ação e quando. O limite de tentativas de login guarda uma versão codificada do endereço de rede, sem o endereço em texto.
• Conteúdo dos processos: objeto, itens, valores, documentos gerados, pareceres, contratos e arquivos anexados, como orçamentos de fornecedores em PDF ou imagem. Esses arquivos podem conter dados de empresas e de pessoas.
• Uso da IA: o registro de cada geração guarda o pedido, a resposta e, a partir de agora, a quantidade de tokens usados.

3. Para que usamos

Para fornecer o sistema, manter a segurança e a trilha de auditoria, medir o uso da IA e apoiar o suporte. Não vendemos dados e não usamos dados dos órgãos para publicidade. [CONFIRMAR: base legal de cada finalidade]

4. Com quem compartilhamos

• Supabase: banco de dados, login e arquivos, em servidores na região de São Paulo.
• Vercel: hospedagem do sistema.
• Anthropic: provedor da IA. Os textos dos processos e os arquivos de orçamento enviados para leitura automática são transmitidos a ela para gerar a resposta. [CONFIRMAR: condições de retenção e de treinamento do provedor, e transferência internacional de dados]

Também podemos compartilhar dados quando a lei ou uma ordem de autoridade exigir.

5. Por quanto tempo guardamos

[CONFIRMAR: prazos de guarda dos processos, da trilha de auditoria (que, por sua função, não é apagada) e dos arquivos, e o que acontece no fim do contrato.]

6. Cookies

Usamos apenas o cookie necessário para manter o seu login. Não usamos cookies de publicidade nem de análise de comportamento.

7. Seus direitos

O titular dos dados pode pedir confirmação do tratamento, acesso, correção, anonimização, eliminação quando cabível, portabilidade e informações sobre o compartilhamento (art. 18 da Lei 13.709/2018). O pedido deve ser feito ao órgão e, quando couber, ao Certamus. [CONFIRMAR: canal de atendimento e nome do encarregado pelo tratamento de dados]

8. Segurança

Cada órgão só acessa os próprios dados, com regras de acesso aplicadas no banco. A comunicação é protegida por conexão segura, e as ações são registradas em trilha encadeada por assinatura digital (hash). [CONFIRMAR: aviso de incidentes e prazos]

9. Mudanças

Esta política pode ser atualizada, com aviso aos usuários. Dúvidas: [CONFIRMAR: e-mail de contato].