Política de Privacidade
Última atualização: 27 de outubro de 2026
1. Quem é o controlador dos dados
O CertamIA é operado por Ominus Tecnologia da Informação LTDA, CNPJ 57.434.682/0001-68 (“nós”), que decide como os dados pessoais tratados no serviço são usados, nos termos da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). Contato geral: contato@certamia.com.br.
2. Encarregado de dados (DPO) e contato
Encarregado pelo tratamento de dados pessoais: Ygor Lage da Costa Silva. Para exercer seus direitos, tirar dúvidas ou fazer reclamações sobre privacidade, escreva para privacidade@certamia.com.br. Respondemos dentro do prazo legal.
Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
3. Quais dados tratamos
De quem usa o serviço (clientes e equipe):
- nome, e-mail e foto da conta Google, quando você entra com ela;
- dados da empresa: CNPJ, nome, perfil de busca (palavras-chave, estados e faixa de valor), participações, anotações e eventos de calendário;
- como a conta chegou a CertamIA: se o cadastro começou num botão do nosso blog, guardamos qual artigo era, levado no próprio link (sem cookie de rastreamento), para saber quais conteúdos trazem clientes;
- documentos que você envia (certidões, atestados e outros), guardados em área privada;
- dados de cobrança (plano, status e notas fiscais); os dados do cartão, inclusive o cadastrado para o teste grátis, ficam com a Stripe e não passam pelos nossos servidores;
- dados técnicos: endereço IP e registros de ações importantes (auditoria), usados para segurança e para limitar abusos.
De empresas que podemos contatar (prospecção):
- CNPJ, razão social, cidade, atividade econômica, e-mail e telefone da empresa e os contratos públicos que ela venceu, obtidos de fontes públicas (PNCP e cadastro do CNPJ);
- tratamos apenas pessoas jurídicas: não guardamos dados de sócios nem CPF, e removemos CPF de nomes de empresas individuais.
4. De onde vêm os dados
- Do próprio titular: cadastro, perfil de busca, documentos e preferências.
- PNCP: licitações abertas, editais e contratos públicos.
- Cadastro de CNPJ: consultamos a BrasilAPI, a minhareceita.org e a OpenCNPJ e, quando necessário para achar o e-mail da empresa, a CNPJá. Enviamos a essas fontes apenas o CNPJ.
5. Para que usamos os dados e em que base legal
- Prestar o serviço contratado (execução de contrato): indicar licitações, resumir editais, montar checklists, enviar alertas e cobrar o plano.
- Prospecção comercial para empresas (legítimo interesse): entrar em contato por e-mail ou telefone com empresas que venceram contratos públicos, para apresentar o serviço. Todo e-mail cita a origem dos dados (PNCP) e traz uma forma simples de pedir para sair. Quem pede para sair entra numa lista de supressão e não é contatado de novo.
- E-mails de novidades e dicas (consentimento): só se você marcar a opção. Você pode mudar isso a qualquer momento (seção “E-mails que enviamos”).
- Segurança, prevenção a fraudes e melhoria do serviço (legítimo interesse): registros de auditoria, limites de uso, correção de erros e estatísticas de uso sem dados pessoais.
- Obrigações legais: emissão de notas fiscais e guarda de registros exigidos em lei.
6. Inteligência artificial
Usamos a API da Anthropic (modelos Claude) para resumir editais, avaliar a compatibilidade entre licitações e perfis, responder perguntas sobre um edital e redigir rascunhos de e-mails de prospecção, e para separar o e-mail de contato de uma empresa do e-mail de uma pessoa (só o da empresa recebe prospecção). Enviamos textos de editais públicos, o perfil de busca da empresa, dados públicos de fornecedores (como o nome e o e-mail do cadastro) e as perguntas feitas no chat.
Não usamos seus dados para treinar modelos e não autorizamos o fornecedor a fazê-lo; a API comercial da Anthropic não usa o conteúdo enviado para treinar os modelos dela. As respostas da inteligência artificial podem conter erros e sempre devem ser conferidas.
7. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos o necessário com fornecedores que nos ajudam a operar o serviço (operadores):
- Anthropic: inteligência artificial (resumos, compatibilidade, chat, rascunhos e classificação do e-mail de fornecedores);
- MillionSend: envio dos e-mails do serviço (alertas, convites, links de acesso) e dos e-mails de prospecção enviados pelo próprio CertamIA;
- plataforma de envio de e-mails de prospecção, quando a prospecção sai por uma ferramenta externa;
- Stripe: pagamentos, assinaturas e o cartão do teste grátis;
- BrasilAPI, minhareceita.org, OpenCNPJ e CNPJá: consulta de cadastro de CNPJ (recebem só o CNPJ);
- Telegram: alertas, se você vincular a sua conta ao bot;
- Sentry: registro de erros, com dados pessoais removidos;
- PostHog: estatísticas de uso, com identificadores pseudônimos e sem dados pessoais;
- Microsoft Clarity: mapas de calor e gravação de como as páginas são usadas (cliques, rolagem e navegação), com campos de formulário mascarados;
- hospedagem: Vercel (a aplicação web, processada em São Paulo) e servidores virtuais contratados e gerenciados por nós, onde ficam o banco de dados e o processamento em segundo plano.
Também podemos compartilhar dados com autoridades quando a lei exigir. Alguns fornecedores ficam fora do Brasil (como Anthropic, Stripe, Vercel, Sentry, PostHog e Microsoft); nesses casos, a transferência internacional segue as hipóteses do art. 33 da LGPD, como as cláusulas contratuais de proteção de dados desses fornecedores e a execução do contrato com você.
8. Por quanto tempo guardamos os dados
- Clientes: enquanto a conta existir. Depois de um pedido de exclusão, os dados da empresa são apagados, salvo o que a lei exigir guardar (como notas fiscais), e o CNPJ deixa de ser contatado pela prospecção.
- Empresas prospectadas que nunca responderam: anonimizadas depois de 12 meses na nossa base (saem e-mail, telefones, textos de e-mails e anotações). O prazo é configurável e este é o padrão.
- Empresas prospectadas descartadas (pediram para sair, e-mail inexistente ou fora do perfil): perdem os dados de contato depois de 90 dias. O prazo é configurável e este é o padrão.
- O que não é apagado: o CNPJ e os contratos públicos (são dados públicos e alimentam as estatísticas de mercado) e a lista de supressão, que existe justamente para não contatar de novo quem pediu para sair.
- Avisos recebidos dos provedores (pagamentos, entrega de e-mails e Telegram): apagados 30 dias depois de processados.
- Registros técnicos e de auditoria: pelo tempo necessário à segurança e ao cumprimento de obrigações legais; os registros de acesso à aplicação ficam por pelo menos 6 meses, como exige o Marco Civil da Internet.
9. Seus direitos
Nos termos do art. 18 da LGPD, você pode pedir: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei; portabilidade; informação sobre com quem compartilhamos; e a revogação do consentimento, quando for a base do tratamento.
- Clientes: o dono da conta pode exportar e pedir a exclusão dos dados da empresa em App › Empresa. Os dados da sua conta pessoal podem ser pedidos ao encarregado.
- Empresas prospectadas: para pedir a exclusão dos dados da sua empresa ou para não ser contatado, use o link de descadastro do e-mail ou escreva para privacidade@certamia.com.br.
- Todos: escreva para privacidade@certamia.com.br informando seu e-mail ou CNPJ. Podemos pedir informações para confirmar que o pedido é seu.
10. E-mails que enviamos
Alertas de licitação e de prazo, avisos de documentos, relatórios, e-mails de cobrança e a sequência do período de teste fazem parte do serviço contratado. A sequência do teste respeita o descadastro pelo link do e-mail.
E-mails de novidades e dicas dependem do seu consentimento, que é opcional e começa desmarcado. Você pode dar ou retirar o consentimento em Preferências de e-mail (exige login) ou pelo link de descadastro de qualquer e-mail.
12. Segurança
Adotamos medidas técnicas e organizacionais proporcionais ao risco: conexão criptografada, isolamento dos dados de cada empresa, segundo fator de autenticação para a nossa equipe, arquivos privados com links temporários, registros de auditoria e limites contra abuso. Nenhum sistema é totalmente seguro; em caso de incidente relevante, avisaremos os afetados e a ANPD, como a lei exige.
13. Alterações desta política
Podemos atualizar esta política. A versão em vigor é a publicada nesta página, com a data da última atualização. Mudanças relevantes serão avisadas por e-mail ou no aplicativo. Veja também os Termos de Uso.