Política de privacidade e proteção de dados

Em vigor desde 12 de outubro de 2026 · Lei nº 13.709/2018 (LGPD)

1. Quem trata os dados

O CotaNexus é uma plataforma para a fase preparatória das contratações públicas — pesquisa de preços, DFD, ETP, matriz de riscos e Termo de Referência — operada pela NEXUS ASSESSORIA E CONSULTORIA EM POLÍTICAS PÚBLICAS LTDA, CNPJ 22.574.161/0001-21, Rua Raul Coelho, 65, Cidade Nova, Capelinha/MG, CEP 39.683-076.

O órgão público contratante é o controlador dos dados que ele e seus servidores colocam no sistema: é ele quem decide para que e como esses dados são usados. A Nexus atua como operadora (art. 5º, VII, da LGPD), tratando os dados em nome do órgão e conforme o contrato.

2. Que dados tratamos

• Servidores do órgão (usuários): nome, e-mail, CPF, cargo, matrícula, secretaria de lotação, perfil de acesso e senha — guardada só em forma cifrada (hash), nunca em texto.
• Registros de uso: data, hora, endereço IP e navegador de cada acesso, e as ações feitas no sistema (trilha de auditoria do órgão).
• Fornecedores consultados: razão social, CNPJ ou CPF, e-mail e telefone de contato; na resposta a um pedido de cotação, o nome, o CPF e o cargo de quem assina a proposta, com data, hora e IP do envio.
• Dados públicos de contratações: preços, órgãos compradores e fornecedores (nome e CNPJ) obtidos de bases oficiais e portais públicos, usados como referência de preço (art. 7º, §§ 3º e 4º, da LGPD).
• Documentos do processo: o que o órgão escreve nas pesquisas de preços, no DFD, no ETP e no TR, e as assinaturas eletrônicas desses documentos.

3. Para que e com que base legal

Os dados servem para a pesquisa de preços e a elaboração dos documentos da fase preparatória (Lei nº 14.133/2021, arts. 18 e 23), para controlar quem acessa e o que faz, para assinar eletronicamente e permitir a conferência pública dos documentos, e para prestar o suporte técnico. As bases legais são o cumprimento de obrigação legal ou regulatória (art. 7º, II), a execução de políticas públicas pela administração (art. 7º, III, e art. 23) e a execução do contrato com o órgão (art. 7º, V). Não usamos os dados para publicidade nem os vendemos.

4. Com quem os dados são compartilhados

Os dados de um órgão ficam visíveis só para os usuários desse órgão, conforme o perfil e a lotação de cada um. Para o sistema funcionar, a Nexus usa fornecedores de tecnologia (suboperadores), que tratam apenas o necessário para cada tarefa:

• Hospedagem em nuvem do sistema e do banco de dados;
• Envio de e-mail (convites a fornecedores, recuperação de senha e avisos);
• Inteligência artificial para sugerir textos dos documentos e localizar itens de catálogo — recebe o conteúdo necessário para a redação, não a senha nem o CPF dos usuários; com orçamento sigiloso, os preços não são enviados;
• Busca em sites de comércio para preços de domínio amplo — recebe só a descrição do item pesquisado.

A página pública de verificação de documentos mostra o nome do signatário, o CPF mascarado e só o começo do endereço IP. Dados podem ainda ser entregues a autoridades quando a lei ou uma ordem judicial exigir.

5. Transferência internacional

Parte desses fornecedores de tecnologia, incluindo a hospedagem, mantém servidores fora do Brasil. A transferência se apoia no art. 33 da LGPD, com contratos que exigem confidencialidade e medidas de segurança compatíveis com as deste documento.

6. Por quanto tempo

Os dados ficam guardados enquanto durar o contrato com o órgão. Os registros de acesso são mantidos por, no mínimo, seis meses (Lei nº 12.965/2014, art. 15), e a trilha de auditoria acompanha os documentos do processo. Ao fim do contrato, o órgão pode exportar os seus dados; depois disso eles são excluídos, salvo o que a lei obrigar a guardar.

7. Como protegemos

• Comunicação sempre criptografada (HTTPS);
• Senhas guardadas com hash e acesso individual por usuário, com perfis, funções e restrição por secretaria definidos pelo administrador do órgão;
• Trilha de auditoria de todas as alterações, com data, hora e IP;
• Assinatura eletrônica com hash do conteúdo e verificação pública do documento;
• Chaves de integração (API) guardadas só como hash, geradas e revogadas pelo administrador do órgão;
• Cópias de segurança diárias.

Em caso de incidente de segurança que possa causar risco ou dano relevante, a Nexus avisa o órgão para as comunicações previstas no art. 48 da LGPD.

8. Seus direitos

Você pode pedir confirmação de que seus dados são tratados, acesso, correção, anonimização, bloqueio ou eliminação do que for desnecessário, informação sobre compartilhamento e as demais medidas do art. 18 da LGPD. Como o órgão é o controlador, o pedido deve ir primeiro a ele; a Nexus ajuda o órgão a atendê-lo. Usuários corrigem os próprios dados em Configurações → Meu perfil.

9. Cookies

O CotaNexus usa apenas cookies necessários para manter a sessão de quem entrou no sistema. Não há cookies de publicidade nem ferramentas de rastreamento de terceiros.

10. Contato

Dúvidas e pedidos sobre dados pessoais: usuários do sistema pelo menu Suporte (abertura de chamado); demais pessoas pelo WhatsApp (33) 99999-4840.

Esta política pode ser atualizada; a data de vigência no topo indica a versão em vigor.