Política de privacidade

1. Quem somos

O ProcessaGov é um sistema de contratações públicas oferecido pela ERO - Sistemas e Soluções LTDA (a ERO). Esta política explica como ele trata dados pessoais, conforme a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, a LGPD).

Para falar com a ERO sobre dados pessoais, escreva para contato@erosis.com.br.

2. Quem decide sobre cada dado

• Dados dos processos. O órgão público é o controlador: ele decide o que entra no sistema e para quê. A ERO é a operadora: trata esses dados em nome do órgão, só para prestar o serviço.
• Dados da conta, do uso do sistema, dos chamados de suporte e do formulário de contato. A ERO é a controladora.

3. Que dados tratamos

• Conta: nome, e-mail, a data do último acesso e, para assinar, o CPF. A foto de perfil, se você puser uma.
• Pedido de cadastro: nome, e-mail, CPF, cargo e justificativa, para o órgão aprovar. Para evitar abuso, o sistema registra o IP e o e-mail de cada tentativa de cadastro.
• Assinaturas: os dados do certificado usado, o CPF e a data (veja Assinatura digital).
• Registros de auditoria: quem fez o quê, em qual processo e quando. Alguns registros guardam também o navegador usado.
• Dados dos processos: o que o órgão insere, como documentos, pareceres e dados de fornecedores e de contratos, e quem participa de cada processo.
• Assistente de IA: as conversas com o assistente ficam guardadas na sua conta, e ele pode guardar lembretes curtos delas para as próximas conversas.
• Chamados de suporte: o título, a descrição, as mensagens e os anexos de cada chamado aberto para a ERO, com quem o abriu e o órgão.
• Links de compartilhamento: quando o órgão compartilha um documento por link, o sistema registra o IP e o navegador de quem abre o link e, se o link pedir, o e-mail que recebe o código de acesso.
• Formulário de contato deste site: nome, e-mail e mensagem, o órgão e o telefone se você informar, e o IP e o navegador de quem enviou. O IP serve para limitar o número de mensagens por hora.

4. Para que usamos

• Permitir o acesso ao sistema e conduzir os processos do órgão.
• Conferir as assinaturas: o CPF do certificado tem de ser o da pessoa que assina.
• Manter o registro dos atos do processo, para o controle e a prestação de contas.
• Enviar os e-mails do sistema, como convites e avisos de vencimento de contrato.
• Publicar no portal público o que o órgão decide publicar.
• Responder a quem escreve pelo formulário de contato.
• Proteger o serviço contra abuso, como excesso de tentativas de cadastro ou de mensagens.

5. Quem recebe os dados

Para funcionar, o sistema usa estes serviços:

• Supabase: guarda o banco de dados e os arquivos, cuida do login e roda as funções do sistema.
• Hostinger: hospeda o site e o sistema e entrega as páginas ao navegador.
• Resend: envia os e-mails do sistema e os do formulário de contato. Recebe o endereço de destino e o conteúdo da mensagem.
• OpenAI e Google: quando alguém usa um recurso de inteligência artificial, recebem os dados do processo que a tarefa pede, como o texto de um documento ou a pergunta feita.
• Serviço de PDF da ERO: gera os PDFs, prepara as assinaturas e confere os arquivos assinados. É um serviço da própria ERO.
• Cloudflare: é a rede pela qual o sistema chega ao serviço de PDF da ERO. Os documentos enviados para gerar PDFs e para preparar e conferir assinaturas passam por ela.
• ConvertAPI e CloudConvert: fazem algumas conversões de arquivo, com o arquivo a converter: a de Word para PDF, quando o serviço da ERO não responde, e a exportação para Word feita pela administração do sistema.
• BrasilAPI: quando você busca os dados de um CNPJ ou de um CEP, o seu navegador consulta a BrasilAPI com o número digitado.
• Sistemas públicos: quando essas funções estão ativas e alguém do órgão as usa, o sistema consulta o Portal da Transparência sobre impedimentos de fornecedores e envia ao PNCP os dados das contratações que o órgão publica.

Quem tiver o código de verificação impresso num documento, ou o de uma assinatura, pode conferi-lo no portal público, sem login. Pelo código do documento, vê o título do documento, o órgão e, de cada assinatura, o nome do titular, o CPF mascarado, a data, o tipo da assinatura e o resumo do arquivo. Pelo código de uma assinatura, vê o nome do titular (e o de quem assinou por ele, quando for o caso), a data, os dados do certificado e o CPF mascarado.

6. Transferência para outros países

Alguns desses serviços são de empresas de fora do Brasil, como OpenAI, Google, Resend, ConvertAPI, CloudConvert e Cloudflare, e os dados que eles recebem podem ser tratados em outros países. O banco de dados do sistema fica no Brasil, na região de São Paulo do Supabase.

7. Assinatura digital

• Certificado em arquivo (A1): a assinatura acontece no seu navegador. A chave privada do certificado não sai dele: o sistema recebe só o certificado, que é a parte pública, e a assinatura pronta.
• Certificado guardado no navegador: se você pedir, o navegador guarda o arquivo do certificado, ainda protegido pela senha dele. A senha nunca é guardada. Você pode mandar esquecer o certificado quando quiser.
• gov.br: você assina no assinador oficial do ITI, fora do ProcessaGov, e envia o arquivo assinado. O sistema confere a assinatura antes de registrá-la.
• O que fica gravado: o nome do titular, o CPF, quem emitiu o certificado, o número de série e a validade dele, o tipo de assinatura, a data e o código de verificação.

8. O que fica no seu navegador

O sistema guarda no navegador a sua sessão, para você não ter de entrar a cada página, e dados de trabalho e preferências, como o rascunho de um processo em criação e o tema da tela. Na tela de entrada, guarda também, junto do e-mail digitado, o número de tentativas de login que falharam, para limitar as tentativas seguidas. O certificado A1 só fica guardado se você pedir.

O ProcessaGov não cria cookies e não usa ferramentas de rastreamento, de análise de audiência ou de publicidade.

9. Por quanto tempo guardamos

Os dados ficam guardados enquanto o órgão usar o serviço. Depois, seguem o contrato com o órgão e os prazos legais de guarda de documentos públicos.

Muitos itens excluídos na tela continuam guardados, marcados como excluídos, para manter o registro do processo.

10. Segurança

Quem usa o sistema por um órgão vê só os dados desse órgão que o perfil dele permite; essa regra é aplicada no próprio banco de dados. As contas de administração do sistema, da ERO, acessam os dados de todos os órgãos, para operar o serviço e dar suporte. Os dados trafegam por conexão segura (HTTPS).

11. Os seus direitos

A LGPD (art. 18) garante a você:

• confirmar se tratamos dados seus e ter acesso a eles;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• pedir a portabilidade dos dados;
• saber com quem os dados foram compartilhados;
• revogar o consentimento, quando o tratamento depender dele.

Como pedir. Se o dado está num processo, o pedido vai ao órgão, que é o controlador. Nos demais casos (conta, uso do sistema, chamados de suporte e formulário de contato), escreva para contato@erosis.com.br.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

12. Alterações

A ERO pode atualizar esta política quando o sistema mudar. A versão em vigor é a publicada nesta página, com a data no topo.

13. Contato

Dúvidas sobre esta política ou sobre os seus dados: contato@erosis.com.br. ERO - Sistemas e Soluções LTDA.